Nếu bạn ở Kazakhstan và không thể truy cập dịch vụ Internet mà không cài đặt chứng chỉ, bạn không đơn độc.
Chính phủ Kazakhstan một lần nữa đưa ra một lời khuyên cho tất cả các Nhà cung cấp dịch vụ Internet (ISP) lớn tại địa phương yêu cầu họ bắt buộc tất cả khách hàng của mình phải cài đặt chứng chỉ gốc do chính phủ cấp trên thiết bị của họ để lấy lại quyền truy cập vào các dịch vụ Internet.
Chứng chỉ gốc đang được đề cập, được gắn nhãn là ” chứng chỉ tin cậy ” hoặc ” chứng chỉ bảo mật quốc gia ” , nếu được cài đặt, cho phép các ISP chặn và giám sát các kết nối HTTPS và TLS được mã hóa của người dùng, giúp chính phủ theo dõi nội dung kiểm duyệt của công dân.
Nói cách khác, chính phủ về cơ bản là phát động một cuộc tấn công “người ở giữa” vào mọi cư dân của đất nước.
Nhưng làm thế nào để cài đặt “chứng chỉ gốc” cho phép các ISP giải mã kết nối HTTPS? Đối với những người không biết, thiết bị và trình duyệt web của bạn sẽ tự động tin cậy các chứng chỉ kỹ thuật số được cấp chỉ bởi một danh sách cụ thể của Cơ quan cấp chứng chỉ (CA) đã cài đặt chứng chỉ gốc trên hệ thống của bạn.
Do đó, người dùng Internet buộc phải cài đặt chứng chỉ gốc thuộc về Tổ chức Chính phủ cho phép họ tạo chứng chỉ kỹ thuật số hợp lệ cho bất kỳ miền nào họ muốn chặn thông qua lưu lượng HTTPS của bạn.
Bắt đầu từ tháng Tư năm nay, các ISP của Kazakhstan đã bắt đầu thông báo cho người dùng của họ về “chứng chỉ bảo mật quốc gia” bắt buộc phải cài đặt để tiếp tục truy cập liên tục vào danh sách các trang web HTTPS “được phép”.
Hiện nay,, một trong những ISP lớn của Kazakhstan, cuối cùng đã bắt đầu chuyển hướng tất cả các kết nối HTTPS của khách hàng sang trang web chứa các tệp chứng chỉ và hướng dẫn về cách cài đặt nó trên các thiết bị Windows, macOS, Android và iOS.
Một trong những hệ lụy bảo mật nghiêm trọng nhất mà chúng ta có thể dễ dàng nhận thấy ở đây là – vì người dùng chỉ có thể duyệt các trang web không phải HTTPS trước khi cài đặt chứng chỉ, các tệp Chứng chỉ có sẵn để tải xuống qua các kết nối HTTP không an toàn, có thể dễ dàng cho phép tin tặc thay thế Chứng chỉ tập tin sử dụng các cuộc tấn công MiTM.
Các ISP quốc gia khác, được liệt kê dưới đây, cũng có kế hoạch bắt đầu buộc người dùng Internet của họ sớm cài đặt chứng chỉ gốc để tuân thủ luật pháp.
- Beeline
- K-Cell
- Active (also lists allowed HTTPS websites)
- Altel
- Kazakhtelecom
Tư vấn gây tranh cãi đã được ban hành liên quan đến sửa đổi Luật Truyền thông 2004 (” Luật Truyền thông “) mà chính phủ Kazakhstan đã thông qua vào tháng 11 năm 2015.
Theo khoản 11 Điều 26, “Quy tắc cấp và cấp Giấy chứng nhận bảo mật , “Tất cả các nhà cung cấp dịch vụ truyền thông quốc gia có nghĩa vụ giám sát lưu lượng truy cập Internet được mã hóa của khách hàng của họ bằng chứng chỉ bảo mật do chính phủ cấp.
Luật này dự định có hiệu lực bắt đầu từ ngày 1 tháng 1 năm 2016, nhưng chính phủ Kazakhstan đã thất bại trong việc buộc các ISP địa phương sau một loạt các vụ kiện.
Có vẻ như bây giờ chính phủ Kazakhstan đang thực hiện một nỗ lực khác để buộc các sửa đổi, đặt quyền riêng tư và bảo mật của hàng triệu công dân của họ có nguy cơ từ cả tin tặc và chính phủ bằng cách phá vỡ các nguyên tắc cơ bản của giao thức bảo mật Internet.
Theo ghi chú được hiển thị bởi các nhà cung cấp Internet, các sửa đổi đã bị buộc “liên quan đến các trường hợp thường xuyên bị đánh cắp dữ liệu cá nhân và thông tin xác thực, cũng như tiền từ tài khoản ngân hàng của Kazakhstan”.
“Một chứng chỉ bảo mật đã được giới thiệu sẽ trở thành một công cụ hiệu quả để bảo vệ không gian thông tin của đất nước khỏi tin tặc, kẻ lừa đảo Internet và các loại mối đe dọa mạng khác”, ghi chú viết.
“Việc giới thiệu chứng chỉ bảo mật cũng sẽ giúp bảo vệ hệ thống thông tin và dữ liệu, cũng như xác định tin tặc và kẻ lừa đảo Internet trước khi chúng có thể gây thiệt hại.”
“Nó cũng sẽ cho phép người dùng Internet Kazakhstan được bảo vệ khỏi các cuộc tấn công của hacker và xem nội dung bất hợp pháp.”
Từ những tuyên bố này, hiển nhiên rằng chính phủ Kazakhstan muốn kiểm soát nội dung nào công dân của họ nên được phép xem trên Internet và cũng biến Kazakhstan thành một quốc gia giám sát sâu sắc.
Ngoài ra, vì một nửa giáo dục nguy hiểm hơn không có giáo dục, tôi thấy rất liên quan đến việc các ISP đang quảng bá “cài đặt chứng chỉ gốc CA tùy chỉnh” như một giải pháp tốt hơn giúp tăng cường bảo mật trực tuyến.
Các trang và thông cáo báo chí được tạo bởi các ISP có hướng dẫn về “lý do và cách cài đặt chứng chỉ do chính phủ cấp” không giải thích chính xác mối đe dọa cài đặt chứng chỉ gốc sai.
Nó xả rác khiến phần lớn người dân có nguy cơ bị tấn công kỹ thuật xã hội và là cơ hội cho tin tặc lừa người dùng cài đặt chứng chỉ gốc độc hại từ các trang web và nguồn không chính thức.
Bên cạnh đó, việc chặn các liên lạc HTTPS cũng sẽ cho phép các ISP tiêm quảng cáo hoặc theo dõi các tập lệnh trên tất cả các trang web mà người dùng truy cập.
Tại thời điểm này, không rõ các công ty công nghệ và trình duyệt web lớn sẽ phản ứng thế nào trước hành vi xâm phạm quyền riêng tư mới này của công dân Kazakhstan. Chúng tôi sẽ cập nhật câu chuyện với nhiều thông tin hơn ngay khi có sẵn.