“ใบรับรองระดับชาติ” ที่ถูกนำมาใช้ในคาซัคสถานถูกบล็อกใน Firefox, Chrome และ Safari

Google, Mozilla и Apple ประกาศวางตำแหน่ง “ใบรับรองความปลอดภัยแห่งชาติ» ไปยังรายการเพิกถอนใบรับรอง การใช้ใบรับรองหลักนี้จะส่งผลให้มีคำเตือนด้านความปลอดภัยใน Firefox, Chrome/Chromium และ Safari รวมถึงผลิตภัณฑ์ลอกเลียนแบบตามโค้ดของพวกเขา

ให้เราระลึกว่าในเดือนกรกฎาคมมีในคาซัคสถาน มีความพยายามเกิดขึ้น การติดตั้งการควบคุมของรัฐบาลเกี่ยวกับการรับส่งข้อมูลที่ปลอดภัยไปยังไซต์ต่างประเทศภายใต้ข้ออ้างในการปกป้องผู้ใช้ สมาชิกของผู้ให้บริการรายใหญ่หลายรายได้รับคำสั่งให้ติดตั้งใบรับรองหลักพิเศษบนคอมพิวเตอร์ ซึ่งจะช่วยให้ผู้ให้บริการสามารถสกัดกั้นการรับส่งข้อมูลที่เข้ารหัสและลิ่มเข้าไปในการเชื่อมต่อ HTTPS ได้

ขณะเดียวกันก็มี แก้ไขแล้ว พยายามใช้ใบรับรองนี้ในทางปฏิบัติเพื่อปลอมแปลงการรับส่งข้อมูลไปยัง Google, Facebook, Odnoklassniki, VKontakte, Twitter, YouTube และทรัพยากรอื่น ๆ เมื่อสร้างการเชื่อมต่อ TLS ใบรับรองจริงของไซต์เป้าหมายจะถูกแทนที่ด้วยใบรับรองใหม่ที่สร้างขึ้นทันที ซึ่งเบราว์เซอร์ทำเครื่องหมายว่าเชื่อถือได้หากผู้ใช้เพิ่ม "ใบรับรองความปลอดภัยแห่งชาติ" ไปยังที่เก็บใบรับรองหลัก เนื่องจากใบรับรองจำลองเชื่อมโยงกันด้วยสายโซ่แห่งความไว้วางใจกับ "ใบรับรองความมั่นคงแห่งชาติ" หากไม่มีการติดตั้งใบรับรองนี้ จะไม่สามารถสร้างการเชื่อมต่อที่ปลอดภัยกับไซต์ดังกล่าวได้โดยไม่ต้องใช้เครื่องมือเพิ่มเติม เช่น Tor หรือ VPN

ความพยายามครั้งแรกในการสอดแนมการเชื่อมต่อที่ปลอดภัยในคาซัคสถานเกิดขึ้นในปี 2015 เมื่อรัฐบาลคาซัคสถาน พยายาม ตรวจสอบให้แน่ใจว่าใบรับรองหลักของผู้ออกใบรับรองที่ได้รับการควบคุมนั้นรวมอยู่ในที่เก็บใบรับรองหลักของ Mozilla การตรวจสอบเผยให้เห็นความตั้งใจที่จะใช้ใบรับรองนี้เพื่อสอดแนมผู้ใช้และแอปพลิเคชันถูกปฏิเสธ หนึ่งปีต่อมาก็มีในคาซัคสถาน
ได้รับการยอมรับ การแก้ไขกฎหมาย "ว่าด้วยการสื่อสาร" โดยกำหนดให้ผู้ใช้ต้องติดตั้งใบรับรองเอง แต่ในทางปฏิบัติ การบังคับใช้ใบรับรองนี้จะเริ่มในกลางเดือนกรกฎาคม 2019 เท่านั้น

เมื่อสองสัปดาห์ก่อนมีการเปิดตัว “ใบรับรองความมั่นคงแห่งชาติ” มันเป็น ยกเลิก พร้อมอธิบายว่านี่เป็นเพียงการทดสอบเทคโนโลยีเท่านั้น ผู้ให้บริการได้รับคำสั่งให้หยุดการกำหนดใบรับรองให้กับผู้ใช้ แต่ภายในสองสัปดาห์ของการดำเนินการ ผู้ใช้คาซัคจำนวนมากได้ติดตั้งใบรับรองแล้ว ดังนั้นโอกาสในการสกัดกั้นการรับส่งข้อมูลจึงไม่หายไป เมื่อโครงการปิดตัวลง อันตรายจากคีย์เข้ารหัสที่เกี่ยวข้องกับ "ใบรับรองความมั่นคงแห่งชาติ" ก็ตกไปอยู่ในมืออีกฝ่ายอันเป็นผลมาจากการรั่วไหลของข้อมูลก็เพิ่มขึ้นเช่นกัน (ใบรับรองที่สร้างขึ้นจะใช้ได้จนถึงปี 2024)

ใบรับรองที่กำหนดซึ่งไม่สามารถปฏิเสธได้ถือเป็นการละเมิดแผนการตรวจสอบของศูนย์ออกใบรับรอง เนื่องจากหน่วยงานที่สร้างใบรับรองนี้ไม่ผ่านการตรวจสอบความปลอดภัย ไม่เห็นด้วยกับข้อกำหนดสำหรับศูนย์ออกใบรับรอง และไม่จำเป็นต้องปฏิบัติตามกฎที่กำหนดไว้ เช่น สามารถออกใบรับรองสำหรับไซต์ใด ๆ ให้กับผู้ใช้ทุกคนภายใต้ข้ออ้างใดก็ได้
Mozilla เชื่อว่ากิจกรรมดังกล่าวบ่อนทำลายความปลอดภัยของผู้ใช้และขัดต่อหลักการที่สี่ Mozilla Manifestoซึ่งถือว่าความปลอดภัยและความเป็นส่วนตัวเป็นปัจจัยพื้นฐาน

ที่มา: opennet.ru