HTTPS: Kasachstan nutzt erneut Überwachungszertifikat

In einem dritten Anlauf versucht die kasachische Regierung erneut, ein Root-Zertifikat zur Überwachung von HTTPS-Verbindungen zu verteilen.

Artikel veröffentlicht am 7. Dezember 2020, 10:16 Uhr, Sebastian Grüner

Kasachstan will seinen Bürgern wieder Root-Zertifikate unterschieben. (Bild: Pixabay)

Die Regierung Kasachstans fordert ihre Bürger in der Hauptstadt Nur-Sultan offenbar schon zum dritten Mal seit 2015 dazu auf, ein Root-Zertifikat auf ihren Geräten zu installieren, wenn diese auf Internetdienste im Ausland zugreifen wollen. Mit Hilfe des Zertifikats ist es möglich, einen Man-in-the-Middle-Angriff auf HTTPS durchzuführen und so die sonst verschlüsselten Verbindungen zu überwachen.

Dies geschieht unter dem Vorwand einer "Cyber-Sicherheitsübung", wie ZDnet schreibt, das zuerst darüber berichtet hat. Demnach leiten die großen Internetprovider Nutzer auf eine eigenes dafür eingerichtete Webseite um, die die Nutzer zur Installation des Zertifikats auffordert. Die Zertifikate der Webseiten gewährleisten normalerweise, dass Man-in-the-Middle-Angriffe nicht möglich sind. Ist jedoch ein lokales Root-Zertifikat installiert, kann ein Anbieter, der den dazugehörigen privaten Schlüssel besitzt, dynamisch für jeden Webseitenaufruf ein neues Zertifikat generieren.

Dem Bericht zufolge seien Einwohner der Hauptstadt außerdem per SMS zur Installation des Zertifikats aufgefordert worden. Die Webseiten großer Dienste mit Hauptsitz in den USA wie Google, Twitter, Youtube, Facebook, Instagram oder Netflix funktionieren außerdem nur, wenn das Zertifikat auf den Geräten der Nutzer installiert ist.

Es ist bereits der dritte Versuch, den die kasachische Regierung unternimmt, um ihren Bürgern Root-Zertifikate unterzuschieben, um HTTPS-Verbindungen mitlesen zu können. Bereits im Jahr 2015 hatte das Land geplant, ein nationales Sicherheitszertifikat einzuführen, die Pläne aber schnell wieder eingestampft. Vor etwas mehr als einem Jahr hatten kasachische Internetprovider ähnlich wie nun im aktuellen Fall Nutzer dazu aufgerufen, ein Überwachungszertifikat zu installieren. Die großen Browserhersteller haben daraufhin das Zertifikat in ihrer Software blockiert.