De acordo com as emendas em vigor no Cazaquistão desde 2016, na lei "Sobre Comunicação", muitos provedores cazaques, incluindo ,
, e , a partir de hoje sistemas que interceptam o tráfego HTTPS dos clientes, substituindo o certificado originalmente utilizado. Inicialmente, a implementação da interceptação estava prevista para 2016, mas essa operação foi constantemente adiada e a lei acabou sendo percebida como formal. A interceptação é realizada preocupação com a segurança dos usuários e do desejo de protegê-los de conteúdos que oferecem ameaça.
Para desativar a exibição no navegador de avisos sobre a utilização de um certificado incorreto, os usuários a instalar em seus sistemas o "", que é utilizado na transmissão de tráfego protegido para sites estrangeiros (por exemplo, já foi registrado a substituição de tráfego para o Facebook).
Ao estabelecer uma conexão TLS, o certificado real do site de destino é substituído por um novo certificado gerado em tempo real, que será marcado como confiável pelo navegador, se o "certificado nacional de segurança" tiver sido adicionado pelo usuário ao repositório de certificados raiz, uma vez que o certificado substituto está ligado a uma cadeia de confiança com o "certificado nacional de segurança".
Na prática, no Cazaquistão, a proteção fornecida pelo protocolo HTTPS está completamente comprometida e todas as solicitações HTTPS, em termos de rastreamento e substituição de tráfego por serviços especiais, não diferem muito das solicitações HTTP. Monitorar abusos em tal esquema é impossível, inclusive na eventualidade de que chaves de criptografia relacionadas ao "certificado nacional de segurança" caiam em outras mãos devido a vazamentos.
Desenvolvedores de navegadores de adicionar o certificado raiz usado para interceptação à lista de certificados revogados (OneCRL), como a Mozilla com certificados da autoridade certificadora DarkMatter. Mas o sentido dessa operação não é muito claro (nas discussões anteriores, foi considerado inútil), já que no caso do "certificado de segurança nacional", esse certificado não está originalmente coberto por cadeias de confiança e, sem a instalação do certificado pelo usuário, os navegadores exibem um aviso. Por outro lado, a ausência de resposta por parte dos fabricantes de navegadores pode estimular a implementação de sistemas semelhantes em outros países. Como alternativa, também está sendo proposta a implementação de um novo indicador para certificados instalados localmente que foram comprometidos em ataques MITM.
Fonte: opennet.ru
