მარტივად HTTPS-ის შესახებ ან რაში ჭირდება ყაზახეთის მთავრობას Root სერტიფიკატი საკუთარი მოქალაქეების ბრაუზერებში?

ტრაფიკს შინა ჩახედვები,

თუ მოსულა, რახანმც, რაკი,

ყაზახეთის პრეზიდენტო,

შენ გაგიხმეს... 

(დანარჩენი, როგორც ცნობილ ანეკდოტშია)

© უცნობი სახალხო პოეტი

მათთვის, ვინც საქმის კურსში არაა: ყაზახეთის მთავრობამ 2015 წლის დეკემბრის შემდეგ 3-ჯერ სცადა საკუთარი მოქალაქეების მიყურადებას ინტერნეტში, მათ მოწყობილობებზე საკუთარი Root-სერტიფიკატის დაინსტალირების მეშვეობით.

ამა წლის 6 დეკემბერს ყაზახეთის ინტერნეტ პროვაიდერებმა ყაზახეთის დედაქალაქის ნურ-სულთანის (ასტანა) მოსახლეობას დაუგზავნეს SMS-შეტყობინება ტექსტით:

"2020 წლის 6 დეკემბერს ქალაქ ნურ-სულთანში გაიმართება სწავლება "კიბერუსაფრთხოება ნურ-სულთან 2020". იმისათვის, რომ შეინარჩუნოთ წვდომა ზოგიერთ უცხოურ ინტერნეტ-რესურსზე, გთხოვთ, დააინსტალიროთ თქვენს მოწყობილობაზე უსაფრთხოების სერტიფიკატი. ამისათვის გადადით ბმულზე..."

ორიგინალი მესიჯის ტექსტის სქრინი ამ ბმულზეა.

18 დეკემბერს ბრაუზერების მწარმოებელმა კომპანიებმა Apple, Google, Microsoft, და Mozilla-მ ბანში გაუშვეს ყაზახეთის მთავრობის Root-სერტიფიკატი! რაც მისასალმებელი ფაქტია!

HTTPS (http over ssl) გვაძლევს საშუალებას ინტერნეტ-ტრაფიკი ჩვენს ბრაუზერსა და სერვერს შორის (რომელზეც განთავსებულია საიტი) იყოს დაშიფრული. სხვა სიტყვებით, საიტზე, რომელიც https-ზეა მიწვდომადი (მწვანე ბოქლომი ადევს... ნუ კარგი, წითელი ბოქლომიც...) და სადაც თქვენი მომხმარებელი და პაროლი შეგყავთ, ეს მონაცემები დაშიფრულად მიდის სერვერამდე (რომელზეც განთავსებულია საიტი) და ვერავინ შუა გზაში ვერ გაიგებს ამ პაროლს და სხვა მონაცემებს, რაც იცვლება ბრაუზერს და საიტს (ვებ-სერვერს) შორის. თუ ვებ-სერვერზე დაინსტალირებული სერტიფიკატი მისი (საიტის) მფლობელის კონტროლქვეშაა, ის არის პასუხისმგებელი თქვენს მონაცემებზე (ნაწილობრივ), ხოლო, თუ ვიღაცა, ამ შემთხვევაში ყაზახეთის მთავრობა, იძულებით საკუთარი SSL სერტიფიკატით აიძულებს თქვენს ბრაუზერს ყველა საიტთან კომუნიკაციას, მონაცემებს, რომლებიც იცვლება საიტსა და ბრაუზერს შორის, შუა გზაში (კითხულობს, იწერს, იყენებს...) ყაზახეთის მთავრობა, სანამ მონაცემი ვებ-სერვერამდე ჩააღწევს...

ამგვარ მეთოდს, რომელიც გულისხმობს სერვერსა და ბრაუზერს შორის სხვა სერტიფიკატით ჩანაცვლებას და აძლევს შეტევის განმხორციელებელს დეშიფრაცია გაუკეთოს თქვენი ბრაუზერის კომუნიკაციას ვებ-სერვერთან, ქვია Man in the Middle (MITM) შეტევა. MITM ტექნოლოგია ასევე ლეგალურად გამოიყენება სხვადასხვა უსაფრთხოების და ანტივირუსულ პროდუქტებში, რომლებსაც კორპორაციები საკუთარი თანამშრომლების ინტერნეტ-ტრაფიკის შესაზღუდად (სამართავად) იყენებენ. ზემოთაღნიშნულს კორპორაცია აკეთებს საკუთარი ინფორმაციული და კიბერ-უსაფრთხოებისთვის, მეტწილად ინფორმაციის გაჟონვის წინააღმდეგ, სხვადასხვა კატეგორიზირებული (კომპანიისთვის საფრთხის შემცველი) ვებსაიტების დასაბლოკად და ა.შ.

PS. ცნობისათვის, ყაზახეთის პრეზიდენტის სახელია - ნურსულთანი და ის მზესთან ასოცირდება...