Di Kazakhstan, beberapa penyedia besar telah melaksanakan pemintasan trafik HTTPS

Selaras dengan yang berkuat kuasa di Kazakhstan sejak 2016 pindaan kepada Undang-undang "Mengenai Komunikasi", banyak penyedia Kazakh, termasuk kcell,
Beeline, Tele2 и Altel, dari hari ini dimasukkan ke dalam operasi sistem untuk memintas trafik HTTPS pelanggan dengan penggantian sijil yang digunakan pada mulanya. Pada mulanya, sistem pemintasan itu dirancang untuk dilaksanakan pada 2016, tetapi operasi ini sentiasa ditangguhkan dan undang-undang mula dianggap sebagai formal. Pemintasan dijalankan dengan alasan kebimbangan tentang keselamatan pengguna dan keinginan untuk melindungi mereka daripada kandungan yang menimbulkan ancaman.

Untuk melumpuhkan amaran dalam pelayar tentang penggunaan sijil yang salah kepada pengguna ditetapkan pasang pada sistem anda"sijil keselamatan negara“, yang digunakan apabila menyiarkan trafik yang dilindungi ke tapak asing (contohnya, penggantian trafik kepada Facebook telah pun dikesan).

Apabila sambungan TLS diwujudkan, sijil sebenar tapak sasaran digantikan dengan sijil baharu yang dijana dengan cepat, yang akan ditandakan oleh penyemak imbas sebagai boleh dipercayai jika "sijil keselamatan negara" telah ditambahkan oleh pengguna pada sijil akar kedai, memandangkan sijil tiruan itu dipautkan oleh rantaian amanah dengan "sijil keselamatan negara" .

Malah, di Kazakhstan, perlindungan yang disediakan oleh protokol HTTPS sepenuhnya terjejas, dan semua permintaan HTTPS tidak jauh berbeza daripada HTTP dari sudut pandangan kemungkinan pengesanan dan penggantian trafik oleh agensi perisikan. Adalah mustahil untuk mengawal penyalahgunaan dalam skim sedemikian, termasuk jika kunci penyulitan yang dikaitkan dengan "sijil keselamatan negara" jatuh ke tangan lain akibat kebocoran.

Pembangun penyemak imbas sedang mempertimbangkan cadangan itu tambah sijil akar yang digunakan untuk pemintasan ke senarai pembatalan sijil (OneCRL), seperti Mozilla baru-baru ini masuk dengan sijil daripada pihak berkuasa pensijilan DarkMatter. Tetapi maksud operasi sedemikian tidak sepenuhnya jelas (dalam perbincangan lalu ia dianggap tidak berguna), kerana dalam kes "sijil keselamatan negara" sijil ini pada mulanya tidak dilindungi oleh rantai amanah dan tanpa pengguna memasang sijil, pelayar sudah memaparkan amaran. Sebaliknya, kekurangan maklum balas daripada pengeluar penyemak imbas mungkin menggalakkan pengenalan sistem serupa di negara lain. Sebagai pilihan, ia juga dicadangkan untuk melaksanakan penunjuk baharu untuk sijil dipasang tempatan yang ditangkap dalam serangan MITM.

Sumber: opennet.ru