كازاخستان تبدأ اعتراض حركة HTTPS على الإنترنت لجميع المواطنين بقوة

إذا كنت في كازاخستان وغير قادر على الوصول إلى خدمة الإنترنت دون تثبيت شهادة ، فأنت لست وحدك.

أصدرت حكومة كازاخستان مرة أخرى إشعارًا إلى جميع مزودي خدمات الإنترنت المحليين (ISPs)، يطلبون منهم إجبار جميع العملاء على تثبيت شهادات صادرة من الحكومة على أجهزتهم لاستعادة إمكانية الوصول إلى خدمات الإنترنت.

إن الشهادة والتي تحمل علامة "شهادة موثوق بها" أو "شهادة أمان وطني"، إذا كانت مثبتة، تسمح لمقدمي خدمات الإنترنت باعتراض ومراقبة اتصالات HTTPS و TLS المشفّرة من قبل المستخدمين، مما يساعد الحكومة في التجسس على مواطنيها ومحتوى الرقابة.

بمعنى آخر ، فإن الحكومة تراقب كل مواطن في البلاد. ولكن كيف يتيح تثبيت "شهادة الحذر" لمقدمي خدمة الإنترنت فك تشفير اتصال HTTPS؟ بالنسبة لأولئك غير المدركين، يثق جهازك ومتصفحات الويب تلقائيًا في الشهادات الرقمية التي تصدرها قائمة محددة فقط من المراجع المصدّقة (CA) التي تم تثبيت شهادات الجذر الخاصة بها على نظامك. لذلك ، فإن إجبار مستخدمي الإنترنت على تثبيت شهادة الجذر الخاصة بالمؤسسة الحكومية يمنحهم سلطة إنشاء شهادات رقمية صالحة لأي مجال يريدون اعتراضه من خلال حركة مرور HTTPS الخاصة بك.

بدءًا من أبريل من هذا العام ، بدأت مزودي خدمات الإنترنت الكازاخستانية في إخبار مستخدميهم حول "شهادة الأمن القومي" التي ستكون إلزامية للتثبيت من أجل مواصلة الوصول دون انقطاع إلى قائمة مواقع HTTPS "المسموح بها".

الآن ، بدأت Tele2 ، أحد مزودي خدمات الإنترنت الكازاخستانيين الرئيسيين ، في إعادة توجيه جميع اتصالات HTTPS لعملائها إلى صفحة ويب تحتوي على ملفات شهادات وإرشادات حول كيفية تثبيته على أجهزة Windows و macOS و Android و iOS.

واحدة من أخطر الآثار الأمنية يمكننا بسهولة تحديد ذلك هنا - نظرًا لأنه لا يمكن للمستخدمين تصفح المواقع التي لا تتبع HTTPS إلا قبل تثبيت الشهادات ، فإن ملفات Cert متاحة للتنزيل فقط عبر اتصالات HTTP غير الآمنة، والتي يمكن أن تسمح للمتسللين بسهولة باستبدال ملفات الشهادات باستخدام هجمات MiTM.

لدى مزودي خدمات الإنترنت الوطنيين الآخرين، المدرجين أدناه، خطط للبدء في إجبار مستخدمي الإنترنت على تثبيت شهادة الجذر قريبًا للامتثال للقانون.

Beeline

K-Cell

Active (also lists allowed HTTPS websites)

Altel

Kazakhtelecom

وفقًا للمادة 11 من قانون، "قواعد إصدار وتطبيق شهادة الأمن"، "جميع مقدمي خدمات الاتصالات الوطنية ملزمون بمراقبة حركة المرور المشفّرة عبر الإنترنت لعملائهم باستخدام شهادات الأمان الصادرة من الحكومة.

كان من المفترض أن يدخل القانون حيّز التنفيذ اعتبارًا من 1 يناير 2016 ، لكن الحكومة الكازاخستانية فشلت في إجبار مقدمي خدمات الإنترنت المحليين بعد سلسلة من الدعاوى القضائية.

يبدو الآن أن الحكومة الكازاخستانية تقوم بمحاولة أخرى لفرض التعديلات، مما يعرّض خصوصية وأمن ملايين مواطنيها للخطر من كل من المتسللين والحكومة نفسها من خلال كسر أساسيات بروتوكول أمان الإنترنت.

وفقًا للمذكرة التي يعرضها مزودو الإنترنت، فقد تم فرض التعديلات "فيما يتعلق بحالات سرقة البيانات الشخصية وبيانات الاعتماد المتكررة ، وكذلك الأموال من الحسابات المصرفية لكازاخستان".

"تقديم شهادة أمان ستصبح أداة فعّالة لحماية مساحة المعلومات في البلاد من المتسللين ومحتالين الإنترنت وغيرها من أنواع التهديدات السيبرانية" ، بحسب المذكرة.

وتضيف المذكرة: "إن تقديم شهادة الأمان سيساعد أيضًا في حماية أنظمة المعلومات والبيانات ، وكذلك تحديد المتسللين ومحتالين الإنترنت قبل أن يتسببوا في حدوث أضرار".

"سيسمح أيضًا لمستخدمي الإنترنت في كازاخستان بالحماية من هجمات القراصنة وعرض المحتوى غير القانوني".

من خلال هذه البيانات، من الواضح أن الحكومة الكازاخستانية تريد السيطرة على المحتوى الذي يجب السماح لمواطنيها بمشاهدته على الإنترنت وأيضًا تحويل كازاخستان إلى حالة مراقبة عميقة.

لا تشرح الصفحات والبيانات الصحفية التي أنشأها مزودو خدمة الإنترنت مع تعليمات حول "لماذا وكيفية تثبيت الشهادة الصادرة من الحكومة" بشكل صحيح .

إلى جانب ذلك ، فإن اعتراض اتصالات HTTPS سيسمح أيضًا لمقدمي خدمة الإنترنت بضخ الإعلانات أو تتبع البرامج النصية في جميع صفحات الويب التي يزورها المستخدمون.

في هذه اللحظة ، ليس من الواضح كيف ستستجيب شركات التكنولوجيا الكبرى ومتصفحات الويب لهذا الانتهاك الجديد لخصوصية المواطنين الكازاخستانيين.

كازاخستان تبدأ اعتراض حركة HTTPS على الإنترنت لجميع المواطنين بقوة