Казахстан начал gov MITM-атаки

С сегодняшнего дня все интернет-провайдеры Казахстана запустили MITM по всему зашифрованному HTTPS трафику.

Они попросили конечных пользователей установить государственный центр сертификации на всех устройствах в каждом браузере: http://qca.kz/

Реальный результат:

MITM атака: https://i.imgur.com/rFEjXKw.jpg

Сообщение от интернет-провайдера, требуется установить этот CA: https://i.imgur.com/WyKjOug.jpg

Доказательства: https://atlas.ripe.net/measurements/22372655/#!пробники

Официальный сайт с root CA: http://qca.kz/

Ссылки на сертификаты:
http://qca.kz/qazca.cer
http://qca.kz/qazca.pem
http://qca.kz/qazca.der

Предполагаемые результаты:

Я думаю, что этот CA должен быть занесен в черный список Mozilla, и Firefox не должен принимать его вообще, даже если пользователь установил его вручную.

Это позволит сохранить конфиденциальность всех пользователей Интернета в Казахстане.

Ключевое - хана конфиденциальности, причем атака на госуровне.
По сути - власти Казахстана расписались в том, что им покласть на информационную безопасность как своих граждан, так и всего государства, ради своих мелкошкурных интересов.

По другому - человек посередине - в данном случае государство - позволяет перехватывать весь трафик - короче представь, что ты с другом через передаста общаешься - так вот тут такой передаст в виде государства.

Ключевое - весь трафик. А другие сервисы могут это серт начать блочить, дабы не быть обвиненными в нарушении приватности, соответственно возможно, что пользоваться ими будет крайне затруднительно.

Где то так. Только тут серт от провайдера и, боюсь, если не поставишь, то будут рубить инет - то есть ты добровольно типа даешь такую возможность.

Ну так создай баг в багтрекере мозилы, пусть добавят

Дык это верхний пост с багзиллы в качестве ответа на вопрос - внимательнее надо - внимательнее)))

Ну в хроме теперь создай

Деда ну что ты как маленький - https://groups.google.com/d/msg/mozilla.dev.security.policy/wnuKAhACo3E/cpsvHgcuDwAJ )))

Вот вчерашнее с Хабра - https://habr.com/ru/news/t/460579/ - комментарии советую пролистать.

Вот просто отличный -

Где гарантии, что люди, что заправляют проскированием и имеющие доступ к данным, передающимся по HTTPS, не начнут использовать возможности этой системы в своих, корыстных, целях? Прознают что у кого-то есть «лишие» деньги и отожмут их? Или узнают как работает определённый бизнес, окажут на него давление в чувствительной области, и отожмут часть бизнеса, а то и весь? Или используют доступ к прокси для незаконной слежки, с фальсификацией улик? К примеру отдадут местному оппозиционеру вместо запрошенного видосика с котиками что-то другое со своего прокси, не совсем законное в Казахстане. И что будет делать этот оппозиционер, если «факты» будут против него?

Вы забываете, что шифрование трафика нужно не только для обеспечения определённой приватности(когда провайдер знает к какому хосту вы подключились, но не знает что именно вы получаете или передаёте этому хосту), но и как гарантия, что между клиентом и сервером нет прокладки, способной смотреть что передаётся по каналу, и даже изменять передаваемое содержимое. Это защита от MITM, какая-никакая, но лучше чем ничего.

Я бы, к примеру, не стал бы пользоваться онлайн-банкингом не использующем HTTPS, или использующим не валидный серт. И дело тут не в соображениях приватности, дело в том, что Plain HTTP — это очень не безопасно. А не валидный серт — с большой долей вероятности говорит о том, что или с серваком сервиса что-то не то(не стоит таким пользоваться, вдруг его хакнули и что-то левое там творится), или между вами и сервисом уже работает MITM, юзающий не валидный серт.

Что значит где гарантии, ебанулся? ради этого и делается всё

Это цитата с хабра вообще-то)

аа, тогда я не удивлен, хорошо что дурачки верящие в справедливость в одном месте кучкуются

Я просто ее закрыть поленился

опасно