I Kazakstan har flera stora leverantörer infört avlyssning av HTTPS-trafik

I enlighet med de gällande ändringarna i Kazakstan från 2016 ändringar till lagen "Om kommunikation", har många kazakiska tjänsteleverantörer, inklusive Kcell,
Beeline, Tele2 och Altel, från och med idag infört system för avlyssning av HTTPS-trafik från kunder med en ersättning av det ursprungliga certifikatet. Initialt var det planerat att införa avlyssningssystemet 2016, men operationen har ständigt skjutits upp och lagen har blivit uppfattad som formell. Avlyssningen genomförs i skepnad av omsorg om användares säkerhet och viljan att skydda dem från hotande innehåll.

För att stänga av varningen om användning av ett ogiltigt certifikat i webbläsare åläggs användarna att installera på sina system "nationellt säkerhetscertifikat", som används vid överföring av säker trafik till utländska webbplatser (till exempel noteras redan trafikändring till Facebook).

Vid installation av TLS-anslutning ersätts det verkliga certifikatet för målsidan med ett nytt certifikat som genererats på plats, som kommer att markeras av webbläsaren som giltigt, om "nationellt säkerhetscertifikat" har lagts till av användaren i rotcertifikatlagret, eftersom det ersatta certifikatet har en förtroendekedja med "nationellt säkerhetscertifikat".

I praktiken är skyddet som tillhandahålls av HTTPS-protokollet helt komprometterat i Kazakstan, och alla HTTPS-förfrågningar, när det gäller möjligheten till övervakning och trafikändring av säkerhetstjänster, skiljer sig lite från HTTP. Det är omöjligt att kontrollera missbruk av ett sådant system, inklusive när nycklar kopplade till "nationellt säkerhetscertifikat" hamnar i andra händer på grund av läckage.

Webbläsarutvecklare möjligheten att använda den nya teknologin. Enligt da ett förslag att lägga till rotcertifikatet som används för avlyssning i listan över återkallade certifikat (OneCRL), som nyligen Mozilla gick med på med certifikat från certifieringscentret DarkMatter. Men syftet med en sådan åtgärd är inte helt klart (i tidigare diskussioner ansågs det värdelöst), eftersom det i fallet med "nationellt säkerhetscertifikat" från början inte omfattas av förtroendekedjor, och utan att certifikatet installeras av användaren visar webbläsarna ändå ett varningsmeddelande. Å andra sidan kan bristen på reaktion från webbläsartillverkarnas sida stimulera införandet av liknande system i andra länder. En alternativ lösning föreslås också, nämligen att implementera en ny indikator för lokalt installerade certifikat som har meddelats om MITM-attacker.

Källa: opennet.ru