Zgodnie z obowiązującymi w Kazachstanie od 2016 roku do ustawy 'O łączności', wielu kazachstańskich dostawców, w tym ,
, i , od dzisiaj systemy przechwytywania ruchu HTTPS klientów z podmianą pierwotnie używanego certyfikatu. Wdrożenie systemu przechwytywania planowano początkowo na 2016 rok, jednak ta operacja była nieustannie odkładana, a ustawa zaczęła być postrzegana jako formalna. Przechwytywanie odbywa się troski o bezpieczeństwo użytkowników i chęci ochrony ich przed zagrażającą treścią.
Aby wyłączyć ostrzeżenia w przeglądarkach dotyczące stosowania nieprawidłowego certyfikatu, użytkownicy zainstalować na swoich systemach '', który jest stosowany przy transmisji chronionego ruchu do zagranicznych witryn (na przykład, już odnotowywana jest podmiana ruchu do Facebooka).
Podczas nawiązywania połączenia TLS rzeczywisty certyfikat docelowej witryny jest zastępowany nowym certyfikatem generowanym na miejscu, który zostanie oznaczony przez przeglądarkę jako wiarygodny, jeśli 'krajowy certyfikat bezpieczeństwa' został dodany przez użytkownika do magazynu certyfikatów głównych, ponieważ podstawiony certyfikat jest powiązany z 'krajowym certyfikatem bezpieczeństwa' w łańcuchu zaufania.
W rzeczywistości w Kazachstanie całkowicie skompromitowana została ochrona zapewniana przez protokół HTTPS, a wszystkie żądania HTTPS są, z punktu widzenia możliwości śledzenia i podmiany ruchu przez służby specjalne, niewiele różnią się od HTTP. Kontrola nadużyć w takim schemacie jest niemożliwa, w tym w przypadku dostania się kluczy szyfrujących związanych z 'krajowym certyfikatem bezpieczeństwa' w inne ręce w wyniku wycieku.
Deweloperzy przeglądarek dodać wykorzystywany do przechwytywania certyfikat główny do listy certyfikatów unieważnionych (OneCRL), jak niedawno zrobiła Mozilla z certyfikatami centrum certyfikacji DarkMatter. Jednak sens tej operacji nie jest do końca jasny (w poprzednich dyskusjach uznano go za nieprzydatny), ponieważ w przypadku "krajowego certyfikatu bezpieczeństwa" certyfikat ten z założenia nie jest objęty łańcuchami zaufania i bez instalacji certyfikatu przez użytkownika przeglądarki, te wyświetlają ostrzeżenie. Z drugiej strony, brak reakcji ze strony producentów przeglądarek może stymulować wdrażanie podobnych systemów w innych krajach. Jako opcję zaproponowano również wprowadzenie nowego wskaźnika dla lokalnie zainstalowanych certyfikatów, które zidentyfikowano w atakach MITM.
Źródło: opennet.ru
