ყაზახეთში არაერთმა მსხვილმა პროვაიდერმა დანერგა HTTPS ტრაფიკის ჩარევა

ყაზახეთში 2016 წლიდან მოქმედი წესების შესაბამისად შესწორებები კანონი „კომუნიკაციების შესახებ“, ბევრი ყაზახი პროვაიდერი, მათ შორის კცელ,
ბილაინი, Tele2 и ალტელი, დღეიდან ექსპლუატაციაში შევიდა კლიენტის HTTPS ტრაფიკის ჩარევის სისტემები თავდაპირველად გამოყენებული სერთიფიკატის ჩანაცვლებით. თავდაპირველად, მოსმენის სისტემის დანერგვა 2016 წელს იგეგმებოდა, მაგრამ ეს ოპერაცია მუდმივად გადაიდო და კანონის ფორმალურად აღქმა დაიწყო. ჩარევა ხორციელდება საფარქვეშ შეშფოთება მომხმარებელთა უსაფრთხოებასთან დაკავშირებით და მათი დაცვის სურვილი კონტენტისგან, რომელიც წარმოადგენს საფრთხეს.

ბრაუზერებში გაფრთხილებების გამორთვა მომხმარებლებისთვის არასწორი სერტიფიკატის გამოყენების შესახებ დადგენილი დააინსტალირეთ თქვენს სისტემებზე"უსაფრთხოების ეროვნული სერტიფიკატი“, რომელიც გამოიყენება უცხოურ საიტებზე დაცული ტრაფიკის გადაცემისას (მაგალითად, Facebook-ზე ტრაფიკის ჩანაცვლება უკვე გამოვლინდა).

TLS კავშირის დამყარებისას, სამიზნე საიტის რეალური სერტიფიკატი შეიცვლება ფრენის დროს გენერირებული ახალი სერტიფიკატით, რომელიც ბრაუზერის მიერ მონიშნული იქნება სანდო, თუ "ეროვნული უსაფრთხოების სერთიფიკატი" დაემატება მომხმარებლის მიერ root სერტიფიკატს. მაღაზიაში, ვინაიდან მოჩვენებითი სერტიფიკატი დაკავშირებულია ნდობის ჯაჭვით „ეროვნული უსაფრთხოების სერტიფიკატთან“.

სინამდვილეში, ყაზახეთში, HTTPS პროტოკოლით გათვალისწინებული დაცვა მთლიანად კომპრომეტირებულია და ყველა HTTPS მოთხოვნა დიდად არ განსხვავდება HTTP-ისგან სადაზვერვო სააგენტოების მიერ ტრაფიკის თვალყურის დევნებისა და ჩანაცვლების შესაძლებლობის თვალსაზრისით. შეუძლებელია ამგვარი სქემის ბოროტად გამოყენების კონტროლი, მათ შორის, თუ „ეროვნული უსაფრთხოების სერტიფიკატთან“ დაკავშირებული დაშიფვრის გასაღებები სხვა ხელში მოხვდება გაჟონვის შედეგად.

ბრაუზერის დეველოპერები განიხილავს წინადადება დაამატეთ ძირეული სერთიფიკატი, რომელიც გამოიყენება ჩარევისთვის სერთიფიკატების გაუქმების სიაში (OneCRL), როგორც ამას წინათ Mozilla შევიდა DarkMatter-ის სერტიფიცირების ორგანოს სერთიფიკატებით. მაგრამ ასეთი ოპერაციის მნიშვნელობა ბოლომდე არ არის ნათელი (წარსულ დისკუსიებში იგი უსარგებლოდ ითვლებოდა), რადგან „ეროვნული უსაფრთხოების სერტიფიკატის“ შემთხვევაში ეს სერტიფიკატი თავდაპირველად არ არის დაფარული ნდობის ჯაჭვებით და მომხმარებლის მიერ სერთიფიკატის დაყენების გარეშე, ბრაუზერები უკვე აჩვენებს გაფრთხილებას. მეორეს მხრივ, ბრაუზერის მწარმოებლების მხრიდან რეაგირების ნაკლებობამ შესაძლოა წაახალისოს მსგავსი სისტემების დანერგვა სხვა ქვეყნებში. როგორც ვარიანტი, ასევე შემოთავაზებულია ახალი ინდიკატორის დანერგვა ადგილობრივად დაყენებული სერთიფიკატებისთვის, რომლებიც დაჭერილია MITM შეტევებში.

წყარო: opennet.ru