In overeenstemming met de in Kazachstan geldende wijzigingen sinds 2016 van de wet "Over communicatie", hebben veel Kazachse providers, waaronder ,
, en , vanaf vandaag systemen voor het onderscheppen van HTTPS-verkeer van klanten met vervanging van het oorspronkelijk gebruikte certificaat. De invoering van het onderscheppingssysteem was aanvankelijk gepland voor 2016, maar deze operatie werd voortdurend uitgesteld en de wet werd al beschouwd als formeel. Het onderscheppen gebeurt zorg voor de veiligheid van gebruikers en de wens om hen te beschermen tegen bedreigende inhoud.
Om te voorkomen dat in browsers waarschuwingen worden weergegeven over het gebruik van een verkeerd certificaat, is aan gebruikers het installeren van een "", dat wordt toegepast bij de transmissie van beveiligd verkeer naar buitenlandse websites (bijvoorbeeld al wordt de vervangingen van verkeer naar Facebook vastgesteld).
Bij het tot stand brengen van een TLS-verbinding wordt het echte certificaat van de doelwebsite vervangen door een ter plekke gegenereerd nieuw certificaat, dat door de browser als betrouwbaar zal worden gemarkeerd als het "nationale veiligheidscertificaat" door de gebruiker aan de rootcertificaatopslag is toegevoegd, aangezien het vervangende certificaat via een keten van vertrouwen is verbonden met het "nationale veiligheidscertificaat".
In wezen is in Kazachstan de beveiliging die door het HTTPS-protocol wordt geboden volledig gecompromitteerd en onderscheiden alle HTTPS-verzoeken zich in termen van traceerbaarheid en verkeervervanging door speciale diensten in weinig van HTTP. Het controleren van misbruik in zo'n schema is onmogelijk, inclusief wanneer sleutels van codering die verband houden met het "nationale veiligheidscertificaat" in andere handen terechtkomen als gevolg van een lek.
Browserontwikkelaars de gebruikte rootcertificaat voor onderschepping toe te voegen aan de lijst van ingetrokken certificaten (OneCRL), zoals onlangs Mozilla met certificaten van het certificeringscentrum DarkMatter. Maar de zin van deze operatie is niet helemaal duidelijk (in eerdere discussies werd het als nutteloos beschouwd), aangezien in het geval van het 'nationale beveiligingscertificaat' dit certificaat aanvankelijk niet is opgenomen in de ketens van vertrouwen en zonder installatie van het certificaat door de gebruiker waarschuwen browsers hier ook voor. Aan de andere kant kan het ontbreken van een reactie van de fabrikanten van browsers de implementatie van dergelijke systemen in andere landen stimuleren. Als optie wordt ook voorgesteld om een nieuwe indicator te realiseren voor lokaal geĆÆnstalleerde certificaten die betrokken zijn geweest bij MITM-aanvallen.
Bron: opennet.ru
