Kazakhstan Mulai Menghadang Lalu Lintas Internet HTTPS Semua Warga Secara Paksa - Otak Kita

Kazakhstan Mulai Menghadang Lalu Lintas Internet HTTPS Semua Warga Secara Paksa



Otak Kita - Jika Anda berada di Kazakhstan dan tidak dapat mengakses layanan Internet tanpa memasang sertifikat, Anda tidak sendirian.

Pemerintah Kazakhstan sekali lagi mengeluarkan penasehat untuk semua Penyedia Layanan Internet lokal utama (ISP) yang meminta mereka untuk mewajibkan semua pelanggan mereka untuk menginstal sertifikat root yang dikeluarkan pemerintah pada perangkat mereka untuk mendapatkan kembali akses ke layanan Internet.

Sertifikat root yang dimaksud, dilabeli sebagai " sertifikat tepercaya " atau " sertifikat keamanan nasional ," jika dipasang, memungkinkan ISP untuk mencegat dan memantau koneksi HTTPS dan TLS yang dienkripsi pengguna, membantu pemerintah memata-matai warga dan konten sensornya.

Dengan kata lain, pemerintah pada dasarnya meluncurkan serangan "pria di tengah" pada setiap penduduk negara.

Tetapi bagaimana menginstal "sertifikat root" memungkinkan ISP untuk mendekripsi koneksi HTTPS? Bagi mereka yang tidak menyadarinya, perangkat dan browser web Anda secara otomatis mempercayai sertifikat digital yang dikeluarkan oleh hanya daftar Otoritas Sertifikat (CA) tertentu yang memiliki sertifikat root yang terpasang pada sistem Anda.

Karena itu, memaksa pengguna Internet untuk memasang sertifikat root yang dimiliki oleh Organisasi Pemerintah memberi mereka wewenang untuk menghasilkan sertifikat digital yang valid untuk domain apa pun yang ingin mereka sadap melalui lalu lintas HTTPS Anda.

Mulai dari bulan April tahun ini, ISP Kazakh mulai memberi tahu para penggunanya tentang "sertifikat keamanan nasional" yang wajib dipasang untuk melanjutkan akses tanpa gangguan ke daftar situs web HTTPS "yang diizinkan".

Sekarang, Tele2 , salah satu ISP Kazakh utama, akhirnya mulai mengarahkan semua koneksi HTTPS pelanggannya ke halaman web yang berisi file sertifikat dan instruksi tentang cara menginstalnya pada Windows, macOS, Android, dan perangkat iOS.

Salah satu implikasi keamanan paling serius yang dapat kita temukan dengan mudah di sini adalah - karena pengguna hanya dapat menjelajahi situs non-HTTPS sebelum menginstal sertifikat, file Cert tersedia untuk diunduh hanya melalui koneksi HTTP yang tidak aman, yang dengan mudah dapat memungkinkan peretas untuk mengganti Sertifikat file menggunakan serangan MiTM.


ISP nasional lain, yang tercantum di bawah ini, juga memiliki rencana untuk mulai memaksa pengguna Internet mereka memasang sertifikat root segera untuk mematuhi hukum.



  •     Beeline
  •     K-Cell
  •     Active (also lists allowed HTTPS websites)
  •     Altel
  •     Kazakhtelecom

Penasihat kontroversial telah dikeluarkan sehubungan dengan amandemen UU Komunikasi 2004 (" UU Komunikasi ") yang disahkan pemerintah Kazakhstan pada November 2015.

Menurut Klausul 11 ​​Pasal 26, "Peraturan untuk Menerbitkan dan Menerapkan Sertifikat Keamanan," semua penyedia layanan komunikasi nasional berkewajiban untuk memantau lalu lintas Internet terenkripsi dari pelanggan mereka menggunakan sertifikat keamanan yang dikeluarkan pemerintah.

Undang-undang itu mulai berlaku mulai 1 Januari 2016, tetapi pemerintah Kazakhstan gagal memaksa ISP lokal mengikuti serangkaian tuntutan hukum.

Tampaknya sekarang pemerintah Kazakhstan melakukan upaya lain untuk memaksa amandemen itu, menempatkan privasi dan keamanan jutaan warganya dalam bahaya dari peretas dan pemerintah sendiri dengan melanggar dasar-dasar protokol keamanan Internet.



Menurut catatan yang ditampilkan oleh penyedia internet, amandemen telah dipaksa "sehubungan dengan kasus pencurian data pribadi dan kredensial yang sering terjadi, serta uang dari rekening bank Kazakhstan."

    "Sertifikat keamanan telah diperkenalkan yang akan menjadi alat yang efektif untuk melindungi ruang informasi negara dari peretas, penipu internet, dan jenis ancaman cyber lainnya," tulis catatan itu.
    "Pengenalan sertifikat keamanan juga akan membantu dalam perlindungan sistem informasi dan data, serta mengidentifikasi peretas dan penipu internet sebelum mereka dapat menyebabkan kerusakan."
    "Ini juga akan memungkinkan pengguna Internet Kazakhstan dilindungi dari serangan peretas dan melihat konten ilegal." 


Dari pernyataan-pernyataan ini, terbukti bahwa pemerintah Kazakhstan ingin mengambil kendali atas konten apa yang harus diizinkan dilihat oleh warga mereka di Internet dan juga untuk mengubah Kazakhstan menjadi negara pengintai yang mendalam.

Juga, karena setengah dari pendidikan lebih berbahaya daripada tidak ada pendidikan, saya merasa sangat mengkhawatirkan bahwa ISP mempromosikan "pemasangan sertifikat root CA kustom" sebagai solusi yang lebih baik yang meningkatkan keamanan online.

Halaman dan siaran pers yang dibuat oleh ISP dengan instruksi tentang "mengapa dan bagaimana cara menginstal sertifikat yang dikeluarkan pemerintah" tidak menjelaskan dengan benar ancaman menginstal sertifikat root yang salah.

Ini membuat sebagian besar warga negara berisiko menghadapi serangan rekayasa sosial, dan kesempatan bagi peretas untuk menipu pengguna agar memasang sertifikat root berbahaya dari situs web dan sumber tidak resmi.

Selain itu, memotong komunikasi HTTPS juga akan memungkinkan ISP untuk menyuntikkan iklan atau skrip pelacakan pada semua halaman web yang dikunjungi pengguna.

Pada saat ini, tidak jelas bagaimana perusahaan teknologi besar dan browser web akan menanggapi pelanggaran privasi baru warga Kazakhstan ini. Kami akan memperbarui cerita dengan informasi lebih lanjut segera setelah tersedia.

Iklan Atas Artikel

Iklan Tengah Artikel 1

Iklan Tengah Artikel 2

Iklan Bawah Artikel