, и annonserte plasseringen av "» til sertifikatopphevingslistene. Bruk av dette rotsertifikatet vil nå resultere i en sikkerhetsadvarsel i Firefox, Chrome/Chromium og Safari, samt avledede produkter basert på koden deres.
La oss huske at i juli i Kasakhstan var det installasjon av statlig kontroll over sikker trafikk til utenlandske nettsteder under påskudd av å beskytte brukere. Abonnenter fra en rekke store leverandører ble beordret til å installere et spesielt rotsertifikat på datamaskinene sine, som ville tillate leverandørene å stille opp kryptert trafikk og kile inn i HTTPS-forbindelser.
Samtidig var det forsøker å bruke dette sertifikatet i praksis for å forfalske trafikk til Google, Facebook, Odnoklassniki, VKontakte, Twitter, YouTube og andre ressurser. Når en TLS-tilkobling ble opprettet, ble det virkelige sertifikatet til målnettstedet erstattet av et nytt sertifikat generert i farten, som ble merket av nettleseren som troverdig hvis det "nasjonale sikkerhetssertifikatet" ble lagt til av brukeren i rotsertifikatlageret , siden dummysertifikatet var knyttet til det "nasjonale sikkerhetssertifikatet" av en tillitskjede. Uten å installere dette sertifikatet var det ikke mulig å etablere en sikker forbindelse med de nevnte nettstedene uten å bruke tilleggsverktøy som Tor eller VPN.
De første forsøkene på å spionere på sikre forbindelser i Kasakhstan ble gjort i 2015, da den kasakhiske regjeringen sikre at rotsertifikatet til den kontrollerte sertifiseringsmyndigheten er inkludert i Mozillas rotsertifikatlager. Tilsynet avdekket en intensjon om å bruke dette sertifikatet til å spionere på brukere, og søknaden ble avvist. Et år senere i Kasakhstan var det
endringer i loven "om kommunikasjon", som krever installasjon av et sertifikat av brukerne selv, men i praksis begynte håndhevingen av dette sertifikatet først i midten av juli 2019.
For to uker siden ble innføringen av et "nasjonalt sikkerhetssertifikat" med forklaringen at dette kun var å teste teknologien. Leverandører ble bedt om å slutte å pålegge brukere sertifikater, men innen to uker etter implementering hadde mange kasakhiske brukere allerede installert sertifikatet, så potensialet for trafikkavlytting forsvant ikke. Med avviklingen av prosjektet har også faren for at krypteringsnøkler knyttet til «nasjonalt sikkerhetssertifikat» kommer i andre hender som følge av datalekkasje økt (det genererte sertifikatet er gyldig til 2024).
Et pålagt sertifikat som ikke kan nektes bryter med verifikasjonsordningen for sertifiseringssentre, siden myndigheten som har generert dette sertifikatet ikke har gjennomgått sikkerhetsrevisjon, ikke var enig i kravene til sertifiseringssentre og ikke er forpliktet til å følge fastsatte regler, d.v.s. kan utstede et sertifikat for ethvert nettsted til enhver bruker under et hvilket som helst påskudd.
Mozilla mener at slik aktivitet undergraver brukersikkerheten og er i strid med det fjerde prinsippet , som vurderer sikkerhet og personvern som grunnleggende faktorer.
Kilde: opennet.ru