Google, Mozilla, Apple đang triển khai giải pháp chặn chính phủ Kazakhstan sử dụng chứng chỉ CA gốc (root CA certificate) Qaznet Trust Network trong phần mềm trình duyệt web tương ứng. Động thái này nhằm tăng cường biện pháp bảo vệ người dùng nước này khỏi sự giám sát của chính phủ.
Root CA certificate là chứng chỉ CA gốc cấp bởi những cơ quan chứng nhận Certificate Authority (CA) và được nhúng vào các ứng dụng phần mềm. Chứng chỉ này thiết lập một chuỗi khoá công khai đã mã hoá, được trình duyệt và dịch vụ phần mềm sử dụng để xác nhận các kết nối mã hoá nhằm tạo sự tin tưởng cao khi trao đổi thông tin.
Cả ba công ty đều đã tuyên bố từ nay người dùng Chrome, Safari và Firefox ở Kazakhstan khi cố gắng truy cập trang web bằng chứng chỉ do chính phủ cấp sẽ nhận được thông báo chứng chỉ Qaznet Trust Network không đáng tin cậy.
Tháng trước, tất cả nhà cung cấp dịch vụ Internet (ISP) lớn của Kazakhstan đang buộc người dân trong nước tải, cài đặt chứng chỉ do nhà nước cấp trên tất cả thiết bị (và mọi trình duyệt) truy cập web. Bằng cách này chính phủ có thể chặn và kiểm soát hoàn toàn quyền truy cập vào các dịch vụ Internet.
Trước đó, Qaznet Trust Network được gắn nhãn “trusted certificate” (đáng tin cậy) hoặc “national security certificate” (chứng chỉ bảo mật quốc gia). Nếu được cài đặt, chứng chỉ này sẽ cho phép các ISP chặn, giám sát, giải mã kết nối HTTPS và TLS được mã hóa của người dùng, giúp chính phủ theo dõi 18 triệu người, đồng thời kiểm duyệt toàn bộ nội dung truy cập.
Sau khi cài đặt lên hệ thống, chứng chỉ cho phép chính phủ Kazakhstan giải mã, can thiệp vào tất cả thông tin truy cập của mọi người trên những trang web phổ biến như Facebook, Twitter và Google. Trong đó bao gồm các cuộc tấn công Man in the Middle (MITM) trên kết nối HTTPS và thực hiện thao tác như khóa tài khoản, đánh cắp mật khẩu người dùng.
Việc cài đặt chứng chỉ CA gốc tùy chỉnh không chỉ cho phép chính phủ giám sát các hoạt động trực tuyến của công dân mà còn khiến người dùng có nguy cơ bị tấn công kỹ thuật, tạo cơ hội cho tin tặc lừa người dùng tải chứng chỉ gốc độc hại từ trang web và nguồn không chính thức.
Ban đầu Kazakhstan giải thích việc tung ra chứng nhận này chỉ nhằm thử nghiệm theo dõi những mối đe dọa trên mạng. Trước làn sóng chỉ trích trên toàn cầu, chính phủ cho biết đã từ bỏ kết hoạch này.
“Chúng tôi sẽ không thỏa hiệp với bất kỳ tổ chức nào, kể cả các cơ quan chính phủ, can thiệp vào dữ liệu người dùng Chrome”, Parisa Tabriz – Giám đốc kỹ thuật cao cấp của Chrome cho biết.
Đây không phải lần đầu tiên chính quyền nước này chặn lưu lượng truy cập Internet của công dân, khiến họ không thể truy cập trang web mong muốn một cách hiệu quả. Năm 2015, chính phủ đã cố lấy được chứng chỉ gốc trong chương trình lưu trữ đáng tin cậy của Mozilla. Hãng đã từ chối yêu cầu ngay khi phát hiện Kazakhstan đang muốn sử dụng chứng chỉ đó kiểm soát dữ liệu công dân.
Cả Google, Mozilla và Apple đều khuyến khích người dùng xóa chứng chỉ CA gốc của chính phủ Kazakhstan khỏi thiết bị, nhanh chóng thay đổi mật khẩu hiện tại bằng mật khẩu mạnh hơn và duy nhất cho mỗi tài khoản khác nhau.
Theo The Hacker News
