Корневой сертификат Казахстана забанили в трех браузерах

Разработчики Chrome, Safari и Firefox приняли меры против потенциальных MitM-атак со стороны правительства страны.

Компании Google, Mozilla и Apple забанили в своих браузерах корневой сертификат безопасности, выпущенный правительством Казахстана в середине июля. Таким образом они намерены не дать государственным структурам контролировать и перехватывать HTTPS-трафик граждан.

Разработчики Firefox и Chrome заявили, что «применили технические решения» для блокировки такой возможности 21 августа. Чуть позже к ним присоединились и авторы Safari. Теперь браузеры будут отображать ошибку, если обнаружат использование сертификата казахских властей.

Эти меры приняты в ответ на попытку правительства Казахстана заменить общепризнанные сертификаты безопасности своим собственным. В прошлом месяце операторы связи в городе Нур-Султан начали рассылать абонентам СМС-сообщения с просьбой переустановить цифровую подпись. Это объяснялось участившимися случаями хищения данных и денежных средств с банковских счетов казахстанцев, а также необходимостью защиты от хакеров, интернет-мошенников и иных видов киберугроз.

Такие оповещения по требованию Министерства цифрового развития выпустили все крупные провайдеры страны — Kcell, Tele2, Beeline и Activ. Согласно заявлениям официальных лиц, установка не носила принудительного характера, однако операторы связи предупреждали, что «отсутствие сертификата безопасности на устройстве приведет к проблемам с доступом к отдельным интернет-ресурсам».

Корневой сертификат как возможный инструмент цензуры

Специалисты проекта Censored Planet, которые отслеживали ситуацию, назвали действия властей страны атакой типа человек посередине (MitM).

Они пояснили, что обычно так бывает, когда злоумышленники выдают себя за какой-либо сайт и представляют поддельный сертификат. Получить легальную подпись для своего домена от доверенного центра сертификации преступники не могут и, соответственно, браузеры пресекают попытки атак. Однако если они смогут убедить пользователей установить на свои устройства мошеннический корневой сертификат, система сочтет его доверенным и не будет предупреждать при переходе на сомнительный сайт.

Исследователи из Censored Planet заявляют, что правительство Казахстана использовало корневой сертификат для расшифровки и чтения всего, что вводили и публиковали пользователи на 37 доменах, включая Facebook, Google, Twitter, Instagram, YouTube, «Одноклассники» и «ВКонтакте».

Несмотря на то что власти свернули программу по обновлению сертификатов, версии, подверженные перехвату данных, остались во множестве браузеров как частных лиц, так и компаний. Забанив сертификат в Chrome, Firefox и Safari, разработчики делают невозможным использование цифровой подписи.

Специалисты трех корпораций рекомендуют пользователям из Казахстана удалить сертификат из браузеров и сменить пароли ко всем учетным записям.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля