- Сертификат безопасности казахстана – что это?
- Я всё сделал по инструкции. как проверить, что сертификат больше не работает?
- "киберщит казахстана": в кнб подробно рассказали, для чего нужен сертификат безопасности | my-sertif.ru
- Больше никаких сертификатов?
- Госорганы смогут прочитать переписку казахстанцев?
- Если я удалю сертификат, то будут ли за мной следить?
- Как удалить сертификат из ios?
- Как удалить сертификат из macos?
- Как удалить сертификат из windows?
- Как удалить сертификат с устройства на android?
- Как установить "сертификат безопасности" на персональных устройствах
- Критика и опасения
- Обязательно ли устанавливать казахстанский сертификат безопасности
- Предыстория вопроса
- Специалисты ждут результатов аудита webtrust
- Сюрпризы и секреты сертификата qaznet
- Четыре функции сертификата
Сертификат безопасности казахстана – что это?
Это актуальный способ, особенно сейчас, когда ходят слухи что яндекс убирает из своего поиска все популярные киносайты. Такие как ЛордФильм и Киного.
Понимаю, не все приверженцы бесплатного контента и любят оформлять всяческие подписочки. Но живем мы в реалиях, когда у студента ,условная, стипендия 1000р. В таких условиях платить подписочки, каждый месяц дело не простое, а вечерком залипнуть на любимый сериал под условное пивко – это дело приятное))
П.С.: Предчувствую “мильен” минусов, больнооо))
Я всё сделал по инструкции. как проверить, что сертификат больше не работает?
Чтобы проверить, действует ли национальный сертификат безопасности на вашем устройстве или нет, зайдите на сайт check.qca.kz. Если он ещё работает, то вы увидите надпись “Сертификат безопасности успешно установлен”, в ином случае появится предупреждение “Это подключение не защищено”.
"киберщит казахстана": в кнб подробно рассказали, для чего нужен сертификат безопасности | my-sertif.ru
В комитете нацбезопасности подробно рассказали о введении государственного сертификата безопасности, а также о том, для чего он нужен, пишет Tengrinews.kz.
В КНБ напомнили, что сертификат безопасности был разработан еще в 2021 году, однако тогда не было целевой программы.
В 2021 году Нурсултан Назарбаев поручил разработать программу “Киберщит Казахстана”, которая и включает в себя сертификат безопасности.
Как рассказали в ведомстве, этот сертификат создан для того, чтобы защитить казахстанцев от хакерских атак, интернет-мошенников и иных видов киберугроз. В пример в КНБ привели игру “Синий кит” (доведение человека до самоубийства), распространившуюся в 2021 году в соцсетях.
«Владельцы социальных сетей не контролировали ситуацию, а у нас не было возможности ограничить доступ к данной информации», – уточнили в комитете.
По данным КНБ, сертификат безопасности разработан отечественными специалистами, иностранцы к разработке не привлекались.
«Мы строим “Киберщит Казахстан”, который по техническим решениям уникален и разработан под особенности Казахстана. Он использует лучшие решения мировых вендоров в сфере кибербезопасности и не схож с китайским», -уточнили в комитете.
Напомним, ранее казахстанцы получили SMS с просьбой об установке сертификата безопасности. Мнения экспертов по поводу данного нововведения разделились. Многие забеспокоились о возможной «слежке» и тому подобном.
В министерстве цифрового развития, инноваций и аэрокосмической промышленности поспешили успокоить казахстанцев, рассказав о плюсах в установке национального сертификата безопасности.
Высказались о нововведении и в генпрокуратуре. В надзорном органе заверили, что государство гарантирует соблюдение прав на неприкосновенность частной жизни, личную и семейную тайну, переписку и так далее.
Главное на NURTV News>>
Оригинал статьи: https://www.my-sertif.ru/society/1809265-kibersit-kazahstana-v-knb-podrobno-rasskazali-dla-cego-nuzen-sertifikat-bezopasnosti/
Больше никаких сертификатов?
На сегодняшний день государство приостановило внедрение национального сертификата безопасности, но это не значит, что в следующий раз подобное “тестирование” на проведут на территории всего государства по нескольким причинам:
Госорганы смогут прочитать переписку казахстанцев?
Директор Центра анализа и расследований кибератак (ЦАРКА) Арман Абдрасилов считает, что установка национального сертификата, в первую очередь, дает возможность госорганам дешифровать траффик. В частности, у властей технически появится возможность получить доступ к перепискам казахстанцев, считает он. Однако граждане обеспокоены, будет ли это проходить в рамках закона.
Если я удалю сертификат, то будут ли за мной следить?
Если вы удалите национальный сертификат безопасности со своего устройства, то у представителей спецслужб не будет абсолютного доступа к вашему трафику. Это значит, что они не смогут его подменять, но это не значит, что они не смогут его считывать.
Согласно статье 26 Закона “О связи” операторы обязаны весь трафик пропускать через систему централизованного управления сетями телекоммуникаций РК. Также представители Министерства цифрового развития, оборонной и аэрокосмической промышленности в Казахстане сказали, что действует промежуточная система, которая позволяет вмешиваться в поток данных и считывать его, для чего и нужна централизация всех потоков.
Если на вашем устройстве нет национального сертификата, то государство всё равно может перехватывать ваш трафик, просто он будет в зашифрованном виде.
Как удалить сертификат из ios?
У устройств iPhone, iPad или iPod touch, которые работают на операционной системе iOS, одинаковый алгоритм удаления ненужных сертификатов. При этом система позволяет отключить сертификат, не удаляя его с устройства.
Отключить сертификат Qaznet Trust Network:
- Откройте “Настройки“, кликнув на значок с шестирёнками.
- Прокрутите вниз до пункта “Основные” и нажмите на него (значок с одной большой шестирёнкой).
- В появившемся меню нажмите на первую строчку “Об этом устройстве“.
- Прокрутите меню до конца и нажмите на последнюю строчку “Доверие сертификатов”.
- В появившемся списке нажмите на зелёный переключатель “Qaznet Trust Network“. Переключатель окрасится в серый, если он уже такого цвета, значит, сертификат на вашем устройстве не был включён.
Удалить сертификат Qaznet Trust Network:
- Откройте “Настройки” (значок с шестирёнками).
- Прокрутите вниз до пункта “Основные” и нажмите на него (значок с одной большой шестирёнкой).
- Найдите внизу появившегося меню пункт “Профиль” и нажмите на него.
- В открывшемся списке выберите профиль под названием “Qaznet Trust Network“.
- Затем нажмите большую красную кнопку “Удалить профиль”.
- Устройство потребует ввода пароля безопасности, если он установлен. Введите пароль к устройству и нажмите кнопку “Удалить”.
- Перезагрузите устройство.
Удаление сертификата безопасности Qaznet Trust Network (IOS).
Как удалить сертификат из macos?
Устройства под управлением MacOS независимо от версий обычно имеют схожую логику меню. Вне зависимости от того, старой или новой операционной системой вы пользуетесь, чтобы найти расположение сертификата безопасности, запустите приложение “Связка ключей”.
Как найти приложение “Связка ключей”:
- В меню “Программы” откройте вкладку “Утилиты” и найдите в списке “Связка ключей“
- Запустите “Launchpad” – значок в виде ракеты в нижней панели. Откройте папку “Другие” и в ней найдите “Связка ключей“.
Как удалить сертификат Qaznet Trust Network из MacOS:
- Запустите приложение “Связка ключей“.
- В нижнем левом разделе “Категория” выберите строчку “Сертификаты”.
- В центральном разделе появится список, в котором вам необходимо найти строчку “Qaznet Trust Network”.
- Нажмите дважды на сертификат и в появившемся подменю выберите строчку “Удалить “Qaznet Trust Network”.
Как удалить сертификат из windows?
Независимо от того, через какой браузер вы устанавливали сертификат безопасности, его можно удалить одним способом.
Для начала вам нужно зайти в “Панель управления”:
Чтобы удалить сертификат Qaznet Trust Network из Wbindows:
- В “Панели управления” нажмите на меню “Сеть и интернет“.
- Под пунктом “Свойства браузера” найдите строчку “Управление настройками браузера“. Нажмите на неё.
- В появившемся меню “Свойства интернета” выберите вкладку “Содержание” и нажмите на кнопку “Сертификаты“.
- В меню “Сертификаты” вам нужна вкладка “Промежуточные центры сертификации“.
- В появившемся списке выберите строчку под названием Qaznet Trust Network, затем нажмите на кнопку “Удалить“.
Как удалить сертификат с устройства на android?
Устройства. работающие на платформе Android. могут иметь разные оболочки, так как каждый производитель может переделывать её на свой лад, поэтому меню могут выглядеть по-разному, но логика процесса удаления сертификата должна быть схожей для всех гаджетов.
Удалить сертификат Qaznet Trust Network:
- Зайдите в настройки устройства.
- Найдите и нажмите на строчку “Расширенные настройки“.
- В появившемся меню выберите пункт “Конфинедциальность“.
- В разделе “Хранилище учётных данных” нажмите на строчку “Надёжные сертификаты“.
- В подпункте “Пользователь” найдите и нажмите на сертификат под названием “Qaznet Trust Network“.
- В появившемся меню должна быть кнопка “Удалить” нажимайте на неё, а затем на кнопку “Ок“.
- Вернитесь обратно в раздел “Конфиденциальность“, найдите в разделе “Хранилище учётных данных” подпункт “Учётные данные пользователя” и нажмите на него.
- В появившемся списке найдите и нажмите на строчку QCA или Qaznet Trust Network.
- В появившемся окне “Учётные данные” нажмите на кнопку “Удалить“.
- Перезагрузите устройство.
Удаление сертификата безопасности Qaznet Trust Network (Andriod).
Как установить "сертификат безопасности" на персональных устройствах
Казахстанские мобильные операторы информируют абонентов о необходимости установки “Сертификата безопасности” на устройствах с доступом в Интернет, сообщает my-sertif.ru.
Kcell и Activ
Русс Аltel
Tele2 каз
Tele2 русс
Каз Аltel
Согласно требованиям Законодательства, операторы связи обеспечивают распространение сертификата безопасности среди своих абонентов, с которыми заключены договоры на оказание услуг связи.
По словам чиновников, цель Сертификата состояла в повышении безопасности казахстанских пользователей интернета при пользовании зарубежными ресурсами, а также для борьбы с международным терроризмом, детской порнографией, транснациональной преступностью.
Обращаем внимание пользователей на то, что установка сертификата безопасности должна быть выполнена с каждого устройства, с которого будет осуществляться выход в Интернет (мобильные телефоны и планшеты на базе iOS/Android, персональные компьютеры и ноутбуки на базе Windows/MacOS).
В случае отсутствия сертификата безопасности на абонентских устройствах могут возникнуть технические ограничения с доступом к отдельным Интернет-ресурсам, – отмечается на сайте одного из операторов.
Критика и опасения
Такой план вызвал жесткую критику наблюдателей, которые почти единодушно назвали идею «государственной MITM» – технологией вторжения в зашифрованные коммуникации пользователей в роли «посредника». Обсуждения велись, главным образом, на зарубежных экспертных ресурсах; новости о сертификате появлялись в ряде западных СМИ.
Из-за слабой осведомленности казахстанских пользователей о вопросах онлайн-безопасности, дефицита специалистов, способных авторитетно высказаться по таким темам, и из-за самоцензуры в журналистской и экспертной среде, внутри страны планы внедрения сертификата почти не обсуждались.
В Комитете связи и информации Министерства по инвестициям и развитию утверждали, что ограничение доступа возможно лишь «к отдельным ресурсам, используемым для совершения противоправных действий». Кроме того, по их словам, «это позволит правоохранительным органам в предусмотренных законом случаях не испытывать затруднений при необходимости произвести анализ подозрительного международного трафика». При этом, нововведение, как считается, не наделяет силовиков никакими дополнительными полномочиями, помимо уже имеющихся.
Как заверяют в правительстве, пользователей социальных сетей, электронной коммерции и банковского сектора это никак не затронет. Константин Горожанкин, президент Ассоциации казахстанского интернет-бизнеса, в интервью казахстанским СМИ делился опасениями о том, что государство получит техническую возможность «читать» информацию, которую пользователи передают в зашифрованном виде, включая банковскую.
В своем официальном ответе на запрос Digital.Report регулятор признал, что проблемы могут возникнуть и в том случае, если «иностранные сервисы и ресурсы» не примут казахский сертификат безопасности в качестве доверенного. Многие комментаторы озвучивали свой скептицизм в первую очередь относительно этого аспекта внедрения национального сертификата.
Обязательно ли устанавливать казахстанский сертификат безопасности
Казахстанцы могут не устанавливать новый сертификат безопасности, заявил вице-министр цифрового развития, оборонной и аэрокосмической промышленности Аблайхан Оспанов.
“Сегодня это требование желательно. Операторы предоставляют вам возможность, у вас есть право устанавливать или не устанавливать эти сертификаты”, – прокомментировал Оспанов.
Данная норма была включена в закон “О связи” в 2021 году, продолжил он. Сегодня операторы обязаны предоставлять возможность по загрузке и установке сертификатов безопасности, сказал Оспанов.
“Это позволит населению обезопасить свои персональные данные, не посещать фишинговые сайты (мошеннические – Sputnik)”, – прокомментировал вице-министр.
В рамках хакерских атак казахстанцев могут направить с одного сайта на другой, продолжил он. С его слов, возможна утечка персональных данных, к примеру, сведения о платежных картах и платежных транзакциях.
“Мне сообщение еще не пришло. Как придет, я обязательно установлю себе и своим детям. Вы, наверное, видите, когда на некоторых сайтах всплывают баннеры. Как раз-таки при таком сертификате безопасности ребенок просто не сможет кликнуть и перейти на ресурс”, – сказал Оспанов в кулуарах пресс-конференции в столице.
Хакеры завладели паролями более 200 клиентов Народного банка
Предыстория вопроса
Это не первый случай, когда власти Казахстана пытаются навязать гражданам использование национального сертификата безопасности под предлогом защиты от киберугроз.
Осенью 2021 г. были приняты поправки к закону Казахстана «О связи», в соответствие с которыми на телеком-операторов была возложена обязанность уже с начала 2021 г. «осуществлять пропуск трафика с использованием протоколов, поддерживающих шифрование, с применением сертификата безопасности, за исключением трафика, шифрованного средствами криптографической защиты информации на территории республики».
Распространять сертификаты планировалось через сайт оператора «Казахтелеком» с декабря 2021 г.
Специалисты ждут результатов аудита webtrust
В сообществе-багтрекере компании Mozilla, разрабатывающей продукты с открытым кодом, включая браузер Firefox, пользователи обсуждают заявку на включение казахстанского сертификата безопасности как доверенного и расценивают его как инструмент для MITM-атак против зашифрованного пользовательского трафика.
В другом обсуждении разработчиков в Google-группе «mozilla.dev.security.policy» говорится, что документация предоставлена на кириллице, т.е. на русском или казахском языке, а не на английском. Заявке не хватает аудита WebTrust — организации, определяющей стандарты в области информационной безопасности, включая проверку сертификатов и удостоверяющих центров.
Пока специалисты рекомендуют компании Mozilla дождаться результатов аудита казахского сертификата от WebTrust прежде, чем принимать какие-либо решения по заявке. Еще в начале декабря 2021 года сообщалось, что «в целях своевременной подготовки к внедрению сертификата безопасности, Государственная техническая служба (ГТС)
Комитета связи, информатизации и информации Министерства по инвестициям и развитию начала вести взаимодействие со всеми заинтересованными компаниями». Похоже, что с началом этой работы казахстанский регулятор, определивший в конце декабря ГТС удостоверяющим центром для выдачи сертификатов безопасности, поторопился.
Сюрпризы и секреты сертификата qaznet
Министр цифрового развития, оборонной и аэрокосмической промышленности Казахстана Аскар Жумагалиев на минувшей неделе вновь говорил о сертификате безопасности Qaznet Trust Network. Установить его казахстанских пользователей массово призвали операторы связи. Они ссылались на случаи хищения персональных данных, денег с банковских счетов и называли сертификат инструментом защиты.
Смотрите также: «Многогранный» сертификат Qaznet, или Министр против экспертов
Жумагалиев описал сертификат как надежный и для убедительности продемонстрировал собственный смартфон с установленным Qaznet’ом. Министр вновь объяснил его стремлением защитить пользователей от киберугроз, сайты — от возможных атак, детей — от нежелательного контента.
Казахстанские власти настаивают, что окончательное решение об установке сертификата остается за пользователями. Одновременно поступают сообщения, что для ряда граждан, отказавшихся от установки Qaznet’а, оказываются недоступными многие популярные соцсети и почтовые сервисы.
Подавляющее число независимых экспертов в стране и за рубежом убеждены, что технология, «упакованная» внутри сертификата, позволяет перехватывать данные, циркулирующие между интернет-пользователями и веб-ресурсами. Специалисты заявляют, что подобное усилие со стороны правительства отдельной страны обойти встроенные в девайсы корневые сертификаты—редкий случай в мировой практике.
«ЧЕЛОВЕК ПОСЕРЕДИНЕ»
Исследовательская группа Censored Planet при Мичиганском университете, которая занимается отслеживанием сбоев в работе Интернета в мире, посвятила Qaznet’у обширное исследование.
Группа заявляет, что провела серию экспериментов для лучшего понимания нового казахстанского корневого сертификата. Она называет его «системой по перехвату зашифрованного https-трафика».
Группа заявила, что проанализировала около десятка тысяч доменов, включая популярные социальные сети и сайт YouTube, и пришла к заключению, что «подлинной целью [сертификата] является наблюдение за пользователями». Авторы исследования утверждают, что на части Казахстана, по их данным, уже происходит перехват трафика. Они рекомендуют пользователям воздерживаться от установки сторонних корневых сертификатов, в частности изданных непроверенными источниками.
«Международной общественности следует внимательно отслеживать эту тревожную практику, которая идет вразрез с десятилетиями прогресса киберсообщества в обеспечении защищенности сайтов надежным сквозным шифрованием», — заключают авторы исследования из Censored Planet.
С тем, что казахстанским пользователям стоит внимательно обдумать свои действия, согласен и Альп Токер, исполнительный директор группы NetBlocks, занимающейся мониторингом свободы Интернета в мире.
— Потребители должны знать, на что идут, так как изученные нами страницы интернет-провайдеров в Казахстане, к сожалению, не точно описывают то, что делают сертификаты QazNet, — утверждает он.
Традиционно сертификаты безопасности используются для шифрования интернет-соединения. В адресной строке браузера его можно распознать по появлению буквы «s» (от англ. secure, или «безопасный». — Ред.): https вместо обычного http. Она свидетельствует, что риск «прослушки» или подмены при циркуляции данных между пользователем и веб-ресурсом минимальный.
В большинстве устройств и браузеров — сертификатов десятки. Они изданы авторитетными организациями, работу которых отслеживает мировое сообщество.
«Корневые сертификаты обычно издаются определенным рядом компаний, которые проверяют на прозрачность. Если техническое сообщество обнаружит хоть один случай неправомерного использования, например прослушивания или перехвата [данных между пользователем и] веб-сайтом, то этот сертификат будет внесён в черный список и компания может потерять миллионы долларов инвестиций в одночасье», — рассказывает Токер.
В качестве примера он приводит отдельные случаи, когда компании в разных странах теряли репутацию в связи с выявленными злоупотреблениями.
Токер называет корневые сертификаты «мастер-ключами» в сфере безопасности интернет-трафика. «Практически все другие механизмы обеспечения безопасности на смартфонах и компьютерах выстроены вокруг них. Современная практика… построена на идее, что ни один пользователь не станет добровольно их заменять», — говорит он.
Со слов Токера, установленный потребителями добровольно сторонний корневой сертификат, в данном случае Qaznet, обойдет механизмы проверки.
— По сути, пользователь соглашается предоставить [третьему лицу] полный доступ к своему интернет-соединению, включая историю переписки в чате и электронной почте, а также возможность просматривать учетные записи в соцсетях, — говорит эксперт.
Как указывают многие специалисты, этот метод получил название «атака посредника», или MitM (man in the middle, или «человек посередине» в переводе с английского. — Ред.). Он позволяет третьим лицам, имеющим доступ к сертификату и трафику, получить личные данные пользователей, в частности просматривать переписку и видеть пароли. Невиртуальным примером такого перехвата информации может служить, например, досмотр корреспонденции, то есть банальное вскрытие конверта не адресатом.
По его словам, производители компьютеров и других девайсов не ожидали, «что правительство [какой-то страны] может [вдруг] принудить своих граждан установить сторонний корневой сертификат».
— К этой идее не относились всерьез до недавнего времени, — говорит Токер и добавляет, что опция существует, но предназначена для особых случаев: облегчения разработки программного обеспечения или использования в отношении лиц, чьи действия нужно отслеживать, например заключённых тюрем.
«Она никогда не была предназначена для обычных пользователей», — говорит Токер.
ПОПЫТКА НОМЕР ДВА?
По словам экспертов, это не первая попытка властей получить доступ к зашифрованной части интернет-трафика. В 2021 году правительство Казахстана уже пыталось обязать пользователей установить государственный сертификат безопасности. Тогда это решение было оспорено в судах, и его не привели в исполнение.
Установить сертификат безопасности операторы связи призывали казахстанцев также в марте 2021 года. Как утверждает веб-ресурс Factcheck.kz, тогда это прошло незамеченным для общественности, поскольку свелось к сообщениям на сайтах провайдеров. Аналитики отмечают, что последней попытке внедрения сертификата предшествовал уход с казахстанского рынка в конце прошлого года и в мае текущего года ряда зарубежных сотовых операторов, а также покупка национальным оператором долей в совместных предприятиях.
Представитель частного казахстанского центра реагирования на компьютерные инциденты Арман Абдрасилов говорит, что у общественности имеется целый ряд вопросов, на которые власти пока не дали внятного ответа. В частности, отмечает он, правила пользования Qaznet Trust Network не содержат подробной информации о том, как этот сертификат будет использоваться, и не описывают порядок его применения.
По словам специалиста, Qaznet пытаются внедрить на фоне «широких возможностей у обладателя данного сертификата» и «при отсутствии исчерпывающей нормативной базы, в которой был бы указан конкретный владелец и ответственное лицо».
— Нам, как техническим экспертам, хотелось бы знать, что это за сертификат, кто за него отвечает, как он будет выпускаться, при каких условиях, в какой организации и где он будет храниться, — говорит Абдрасилов. Ясности относительно правообладателя сертификата пока также нет, считает он.
После появления в июне призывов к пользователям установить сертификат ряд СМИ сообщали, что домен сайта Qca.kz, на котором размещены ссылки для скачивания, зарегистрирован на частное лицо — некоего Аскара Дюсекеева (Askar Dyussekeyev). Его адресом указан Дом министерств в столице. Позднее у домена сменилась регистрационная запись. Теперь его собственником указана организация «Национальный координационный центр информационной безопасности». Согласно сведениям из открытых источников, эта организация имеет отношение к государственной технической службе КНБ.
Смотрите также: Сертификат (без)опасности?
Абдрасилов заявляет, что в теории бороться с киберугрозами при помощи сертификата можно. Он говорит о возможности «точечных блокировок», поскольку сертификат позволяет расшифровывать https-трафик, изучать его, вновь зашифровывать и отправлять по назначению.
«Его обладатель может запретить вам переходить на какие-либо сайты. Владелец сертификата, если он имеет доступ к трафику, потенциально может посмотреть, на какой ресурс вы заходите. Можно при желании блокировать, например, рекламу, — делится предположениями Абдрасилов. — Насколько я понимаю, это будет применяться для каких-то ресурсов, которые периодически [полностью] блокируются для того, чтобы блокировать запрещенный контент». По его словам, одним из примеров может быть ограничение доступа лишь к части контента на YouTube, а не всего сайта.
РЕАКЦИЯ
Сколько граждан уже установили Qaznet неизвестно. В Сети появляются инструкции по удалению этого корневого сертификата, если пользователь установил его, но теперь сомневается в его надежности.
Между тем Qaznet вновь вывел Казахстан в центр негативного внимания мирового интернет-сообщества. Оно уже следило за ситуацией в стране после сообщений о массовых блокировках соцсетей и сайтов, в том числе масштабном инциденте 9 мая, а также 9 июня, о которых, в частности, подробно сообщала группа NetBlocks.
Смотрите также: Без Интернета, с задержаниями. Казахстан отметил 9 Мая
На внедрение корневого сертификата среди прочих отреагировала международная прессозащитная организация Committee to Protect Journalists («Комитет по защите журналистов», или CPJ. — Ред.). Организация заявила о рисках ужесточения цензуры в Казахстане.
Директор правозащитного отдела CPJ Кортни Радш отметила, что так называемая «мера безопасности» выглядит скорее как попытка правительства «усилить возможности для слежки за гражданами». Намерение властей «защитить население от опасного контента», заявила Радш, следует воспринимать с большой долей скептицизма в связи с «многолетним опытом» властей Казахстана в сфере тюремного заключения, цензуры и преследования журналистов.
Издание MIT Technology Review одного из ведущих технологических вузов мира — Массачусетского технологического университета — утверждает, что упомянутая схема man-in-the-middle (MITM) не единственная мера казахстанских властей по ужесточению контроля в стране посредством Интернета. Казахстан, утверждают авторы статьи, «также является известным клиентом NSO Group, израильской компании, специализирующейся на продаже технологий взлома правительствам различных стран, в том числе диктаторским режимам, которые используют их для того, чтобы заставить молчать инакомыслящих».
Как пишет MIT Technology Review, технологии NSO Group, как правило, позволяют действовать выборочно. «Технологические амбиции правительства [Казахстана] явно выросли», — заключает издание.
В КОНТЕКСТЕ РЕАЛИЙ
В отчете международной правозащитной организации Freedom House об уровне свободы Интернета в мире за 2021 год Казахстан занимает 46-е место среди 65 стран. Freedom House относит его к числу стран, где «часто блокируют социальные сети и коммуникационные платформы».
Последние несколько лет казахстанские пользователи сообщают, что сталкиваются с регулярным отсутствием доступа к соцсетям и мессенджерам. Они обвиняют власти в блокировках и связывают их с выступлениями в Сети основателя запрещенного казахстанским судом и объявленного экстремистской организацией движения «Демократический выбор Казахстана». Мухтар Аблязов, проживающий за рубежом бывший банкир и критик казахстанских властей, которому на родине предъявлен ряд уголовных обвинений, периодически выступает с обращениями к гражданам в Интернете.
Масштабное внедрение новой технологии, которую власти объясняют стремлением обезопасить пользователей, происходит и в условиях значительного усиления протестных настроений на фоне политического транзита. В результате него власть перешла от правившего страной почти 30 лет экс-президента Нурсултана Назарбаева к Касым-Жомарту Токаеву. Назарбаев при этом сохранил широкие полномочия по управлению государством. Участники акций протеста ставили под сомнение легитимность прошедших 9 июня досрочных выборов и их итогов. Они требуют от властей уважать гражданские права и свободы и освободить политических заключенных. Граждан, выходящих на митинги, которые власти называют «незаконными», подвергают задержаниям, штрафам и арестам.
Многие международные организации в последнее время всё активнее критикуют власти Казахстана за подавление прав человека, гражданских свобод и инакомыслия. Власти отвергают все обвинения как беспочвенные.
Четыре функции сертификата
Также в обсуждении говорится, что в заявке, возможно, речь идет более, чем об одном сертификате, или о неком «сверхсертификате» root.gov.kz. Он может служить двум целям сразу — быть своего рода пропуском для пользователя браузера к государственным сайтам (как, например, pki.gov.kz), и являться инструментом MITM.
На первую функцию сертификата — для доступа граждан к услугам на портале электронного правительства — казахстанская сторона также указывает в переписке с Mozilla (1, 2). Однако в злополучном пресс-релизе АО «Казахтелеком» прямо говорилось о сертификате именно как о пропуске для казахстанцев к зарубежным ресурсам при использовании зашифрованных каналов — будем считать это второй задачей нововведения.
Министр по инвестициям и развитию 10 декабря 2021 года в официальном ответе на обращение гражданина о деталях применения национального сертификата, заявлял о третьей функции — борьбе с угрозами информационной безопасности, когда цели использования шифрованного протокола неизвестны (например, распространение вредоносных программ, кража данных, сокрытие следов несанкционированного доступа и др.).
Тем временем, казахстанское правительство утвердило ряд подзаконных актов для внедрения национального сертификата безопасности, включая Правила его применения. В них уже говорится о четвертой (и единственной, согласно этим Правилам) функции сертификата:
«п. 4: Применение сертификата безопасности, выданного удостоверяющим центром, осуществляется операторами связи в целях ограничения распространения по сети телекоммуникаций информации, запрещенной вступившим в законную силу решением суда или законами Республики Казахстан, а также приостановления или прекращения использования сетей и (или) средств связи в преступных целях».
В Приказе министра по инвестициям и развитию, подписанном 25 декабря 2021 года, говорится, что Правила не распространяются на пропуск зашифрованного трафика на территории Казахстана, а также предназначенного для передачи за пределы территории Республики Казахстан. В тексте не уточняется, касается ли это утверждение входящего зашифрованного трафика.
В Правилах выдачи сертификата безопасности, утвержденных в тот же день, говорится, что сертификат выдается по просьбе оператора связи сроком на три года. Операторы, по новому закону «О связи», должны осуществлять пропуск трафика по зашифрованным протоколам, с применением сертификата безопасности.
Правила применения сертификата требуют, чтобы оператор связи обеспечил конфиденциальность организационных и технических условий его применения.
Специалисты, опрошенные для этого материала на условиях анонимности, по-прежнему считают, что суть и механизмы внедрения национального сертификата остаются неясными, даже после публикации подзаконных актов. По их ожиданиям, крупным организациям — особенно в банковской сфере — возможно, потребуется разработка дополнительных решений для обеспечения сохранности данных клиентов при их передаче через интернет, поскольку трудно представить, как ГТС сможет сортировать подозрительный «вредоносный» трафик от обычного пользовательского.
Пресс-служба регулятора — Комитета по связи, информации и информатизации Министерства инвестиций и развития Казахстана — не ответила на вопросы Digital.report к моменту публикации материала.