Блокировка сертификата для браузеров в Казахстане

В Firefox, Chrome и Safari заблокирован внедряемый в Казахстане "национальный сертификат"

Google, Mozilla и Apple объявили о помещении внедряемого в Казахстане "национального сертификата безопасности" в списки отозванных сертификатов. Использование данного корневого сертификата отныне будет приводить к выводу предупреждения о нарушении безопасности в Firefox, Chrome/Chromium и Safari, а также в основанных на их коде производных продуктах.

Напомним, что в июле в Казахстане была предпринята попытка установки государственного контроля за защищённым трафиком к зарубежным сайтам под предлогом защиты пользователей. Абонентам ряда крупных провайдеров было предписано установить на свои компьютеры специальный корневой сертификат, который позволил бы на уровне провайдеров незаметно перехватывать шифрованный трафик и вклиниваться в HTTPS-соединения.

В то же время были зафиксированы попытки применения данного сертификата на практике для подмены трафика к Google, Facebook, Одноклассники, Вконтакте, Twitter, YouTube и других ресурсов. При установке TLS-соединения реальный сертификат целевого сайта подменялся сгенерированным на лету новым сертификатом, который помечался браузером как достоверный, если "национальный сертификат безопасности" был добавлен пользователем в хранилище корневых сертификатов, так как подставной сертификат связан цепочкой доверия с "национальным сертификатом безопасности". Без установки данного сертификата установить защищённое соединение с упомянутыми сайтами не представлялось возможным без применения дополнительных средств, таких как Tor или VPN.

Первые попытки слежки за защищёнными соединениями в Казахстане были предприняты в 2015 году, когда правительство Казахстана попыталось добиться включения корневого сертификата подконтрольного удостоверяющего центра в хранилище корневых сертификатов Mozilla. В ходе аудита был выявлено намерение использовать данный сертификат для слежки за пользователями и заявка была отклонена. Год спустя в Казахстане были приняты поправки к закону «О связи», предписывающие установку сертификата самими пользователями, но на практике форсирование данного сертификата началось только в середине июля 2019 года.

Две недели назад внедрение "национального сертификата безопасности" было отменено с пояснением, что это было лишь тестирование технологии. Провайдерам дано указание прекратить навязывать сертификаты пользователям, но за две недели внедрения сертификат уже успели установить многие казахские пользователи, поэтому потенциальная возможность перехвата трафика не исчезла. Со сворачиванием проекта также возросла опасность попадания связанных с "национальным сертификатом безопасности" ключей шифрования в другие руки в результате утечки данных (сгенерированный сертификат действует до 2024 года).

Навязанный сертификат, от которого невозможно отказаться, нарушает схему проверки удостоверяющих центров, так как сгенерировавший данный сертификат орган не проходил аудит безопасности, не соглашался с требованиями к удостоверяющим центрам и не обязан следовать установленным правилам, т.е. может выдать сертификат для любого сайта любому пользователю под любым предлогом. Mozilla считает, что подобная деятельность подрывает безопасность пользователей и противоречит четвёртому принципу Манифеста Mozilla, который рассматривает безопасность и приватность как основополагающие факторы.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51329

Новость немного с бородой, от 21 августа. Но от этого не менее интересная.

Сборной России гол забили, а Вы про сертификаты... 0:1 проигрывает Россиюшка, а Вы... .

Не хотят американцы, чтобы их в их браузеры вмешивался маленький Казахстан. Они за свободу Интернета!

Скажу по секрету. Дело тут не в американцах. И даже Трамп с госдепом непричем. Просто в Казахстане как и у нас с Китаем хотят контролировать все без исключения. Но безопасность вышла дырявая и получили кучу народа, который на этом начал зарабатывать.

А в 2-х словах можно бородатую новость? Читать лень

Можно. Пастух-стаду. Можно наоборот - стадо-пастуху.

Бред! Сертификат устанавливается на сервере с которым осуществляется связь. Для установки связи используется пара ключей целевого сервера... Для подключения к Google используется пара ключей из сертификата Google и так далее...
Статья - полный бред... Цель? Дешёвая сенсация.

Привет земляку))

Вернулся, реал не понравился)))

Всегда знала, что в Казахстане ИТ нет.

То, что вы написали — это воинствующий непрофессионализм.

Аха.

Вы создали тему исключительно для тех, кто разбирается в серверах, сертификатах или для всех? Если для всех, то объясните кратко своим языком непонятливым, те технически неподкованным. Не для всех? Тогда в начале темы напишите - только для компьютерщиков.

И тебе привет. Смотрю мало что изменилось за то время, что меня не было. Пермь все также большая редкость.

Я в прошлый раз пол года тут зависал) вообще ни кого не было)

Зря заминусовала. Ты просила в 2 словах. Это в 2 словах. Без всякого ерничания и шуток. Ну так как у нас не любят читать простыни текста, то вот кратко. В Казахстане (да и не только в нем) давно хотят смотреть, что идет в потоках трафика своих граждан. Полезно для управления и контроля определенных групп влияния и не только. Но беда (или счастье) в том, что так делают не только правительства, но и куча другого народа. Поэтому этот цирк продолжался какое-то время, а потом всем надоело, начали раздаваться крики, что нарушаются права человека и теряются деньги у тех, кто побогаче. Как итог вкупе с еще рядом причин - начали вводить шифрование http (протокола, благодаря которому мы можем прыгать по сайтам) - https. Как итог, стало труднее подсматривать и подслушивать. Но невозможно. Пример тому в новости. Есть такая штука - цифровой сертификат сайта. Он в теории подтверждает, что ты находишься именно на сайте Васи, куда ты хотела зайти, а не на сайте Пети, прикидывающемся Васей. Они, сертификаты, бывают разные. Есть например корневые, доменные и т.п. Сертификаты выдают специально уполномоченные организации. Но эти же сертификаты могут выдать и другие конторы и группы. В своих разумеется целях. И не просто выдать, но и навязать их установку. Как например в новости выше. По идее это неправильно. Но кто будет спрашивать простого юзера. Как итог, любой может вклиниться и посмотреть что и кто пересылает. Со всеми вытекающими.

Передай спасибо владельцу ресурса. Он отчасти сделал так, что датинг стал местячковым для столиц и европейской части. Хотя позиционируется для всей РФ. Ну теперь еще ряд регионов из Сибири подтянулись. Если ты ищешь из других мест, то тут все грустно. Настраивайся на то, что твоя будущая жена с сайта будет из другого региона. Или ты сам переедешь. А еще обрати внимание на время захода многих красавиц из нашего с тобой дома. Узнаешь, что они тут появляются скажем так нечасто.

Мою анкету посмотри)) кому я нужен))

Уверяю, не в анкете дело. Так что даже не заморачивайся. Дело в инициативе. Не пишут тебе первому - пиши первым ты.

Женщины любят решительных. У них это в генах еще с каменного века идет. А расстояния не пугайся. Возможность начать все с нуля в новом месте с предыдущим опытом поверь дорогого стоит. Причем для обоих. Тот самый новый шанс, который все так тут ищут.

Количество детей)))