Казахстанская атака "человек посередине" - Kazakhstan man-in-the-middle attack

В 2015 г. Правительство Казахстана создал корневой сертификат что могло бы позволить атака "человек посередине" на HTTPS трафик от интернет-пользователей в Казахстан. Правительство охарактеризовало его как «свидетельство национальной безопасности». Если бы сертификат был установлен на устройствах пользователей, он позволил бы правительству Казахстана перехватывать, расшифровывать и повторно шифровать любой трафик, проходящий через контролируемые им системы.[1][2]

В июле 2019 года казахстанские интернет-провайдеры начали сообщать своим пользователям, что сертификат, который теперь называется Сертификат доверия Qaznet,[3] выданный государством центр сертификации то Qaznet Trust Network, теперь должны будут установить все пользователи.[4][5][6]

Сайты, управляемые Google, Facebook и Twitter похоже, входит в число первоначальных целей казахстанского правительства.[7]

21 августа 2019 г. Mozilla и Google одновременно объявили, что их Fire Fox и Хром веб-браузеры не будут принимать сертификат, выданный государством, даже если он установлен вручную пользователями.[8][9] яблоко также объявили, что внесут аналогичные изменения в свои Сафари браузер.[7] По состоянию на август 2018 г., Microsoft пока не внес никаких изменений в свои браузеры, но повторил, что выданный государством сертификат не был в доверенный корневой магазин любого из его браузеров, и не будет иметь никакого эффекта, если пользователь не установит его вручную.[10]

Рекомендации

  1. ^ Нурмаков, Адиль (05.12.2015). «Эксперты обеспокоены планами Казахстана по мониторингу зашифрованного трафика пользователей». Цифровой отчет (на русском). Получено 2019-07-18.
  2. ^ Николс, Шон (3 декабря 2015 г.). «Неужели Казахстан собирается использовать метод« посредника »для всего своего интернет-трафика с помощью хитрых корневых сертификатов?». www.theregister.co.uk. Получено 2019-07-18.
  3. ^ «Правительство Казахстана будет перехватывать национальный HTTPS-трафик». IT ПРО. Получено 2019-08-21.
  4. ^ «MITM на весь HTTPS-трафик в Казахстане | Hacker News». news.ycombinator.com. Получено 2019-07-18.
  5. ^ Афифи-Сабет, Кеумарс (19 июля 2019 г.). «Правительство Казахстана будет перехватывать национальный HTTPS-трафик». IT ПРО. Получено 2019-07-19.
  6. ^ Раман, Рам Сундара; Евдокимов Леонид; Вустров, Эрик; Халдерман, Алекс; Энсафи, Ройя (23 июля 2019 г.). «Казахстанский перехват HTTPS». censoredplanet.org. университет Мичигана. Получено 2019-08-21.
  7. ^ а б Пэрис, Мартина (21.08.2019). «Google и Mozilla блокируют казахстанский сертификат корневого ЦС от Chrome и Firefox». VentureBeat. Получено 2019-08-21.
  8. ^ Тайер, Уэйн (21.08.2019). «Защита наших пользователей в Казахстане». Блог о безопасности Mozilla. Получено 2019-08-21.
  9. ^ Уолли, Эндрю (21.08.2019). «Защита пользователей Chrome в Казахстане». Блог Google Online Security. Получено 2019-08-21.
  10. ^ Бродкин, Джон (21.08.2019). «Google, Apple и Mozilla блокируют слежку за браузером правительства Казахстана». Ars Technica. Получено 2019-08-22.