Сертификат безопасности как показатель недоверия государству

Министерство цифрового развития, инноваций и аэрокосмической промышленности совместно с КНБ сообщило об учениях «Кибербезопасность Нур-Султан-2020».

На брифинге в Службе Центральных Коммуникаций председатель комитета по информационной безопасности МЦРИАП Казахстана Руслан Абдикаликов отметил, что в текущих киберучениях задействован сертификат безопасности.

«Если отказаться от применения сертификата безопасности, технически невозможно будет сохранить функционирование иностранных интернет-ресурсов, на которых условным нарушителем будет распространяться противоправная информация», – уверяет Абдикаликов.

ORDA. попросила руководителя «Интернет Ассоциаций Казахстана» Шавката Сабирова прокомментировать особенности национального сертификата безопасности.

Что такое сертификат безопасности?

«У каждого мессенджера или социальной сети есть свой сертификат безопасности – инструмент, который шифрует личную информацию: переписки, запросы и т.д. Причем расшифровать ее нелегко – по некоторым подсчетам, это может занять около 100 лет».

Национальный сертификат безопасности выдает государство, оно как бы выступает посредником между пользователем и сайтом, на который он идет.

«Если вы устанавливаете казахстанский сертификат безопасности, значит, вы доверяете своему государству. Оно получит доступ к вашей личной информации. В принципе, если вы ничего не воруете и не совершаете противоправные поступки, то это нормально. Но никто не гарантирует, что вашей информацией не воспользуется кто-то другой. В Казахстане человеческий фактор – это особенно серьезная вещь, у нас кто-то может купить ваши личные данные. Я считаю, что это некорректно.

Сабиров отметил, что в международном сообществе давно хотят обезопасить личные данные, но пока безуспешно. Например, в 2011 году частная компания DigiNotar разработала сертификат безопасности в Голландии, который потом взломали хакеры и правительственные данные были расшифрованы. Подобное произошло и в Иране в 2011 году, когда хакеры получили доступ к gmail-адресам пользователей.

«Национальный сертификат безопасности – это самый неудачный и бесполезный способ защиты. Никто никогда не будет доверять сертификату третьего лица – а вдруг он не тот, за кого себя выдает?

Никто, даже государство, не может под видом защиты пользоваться вашей приватностью. Нужно идти другими путями».

Шавкат Сабиров рассказал, что государство может ввести сертификат безопасности лишь в добровольном порядке. Но если вы не сможете открыть приложение без сертификата, рано или поздно вы или ваш друг сдадитесь и установите его. И тогда ваши данные будут открыты государству. Людям придется пользоваться VPN и другими подобными программами.

Первые официальные инициативы о сертификате безопасности выдвигались полтора года назад. 17-18 июля 2019 года жителям нескольких городов Казахстана (официально анонсирован был только Нур-Султан) пришло вот такое сообщение:

Отмечалось, что сертификат позволит «оградить казахстанских пользователей интернета от хакерских атак и просмотра противоправного контента». Устанавливать его при этом никто не принуждает, но в случае, если пользователь этого не сделает, у него, могут появиться проблемы с доступом к сети.

В итоге, в августе 2019-го, ровно через месяц после начала инфошума, КНБ заявил об успешном завершении тестирования сертификата безопасности.

«В результате создана система по предотвращению угроз как в кибер, так и информационном пространстве»

Казахстанцам, установившим сертификат, сообщили, что они могут спокойно его удалить, так как в его использовании больше нет необходимости.

Президент тогда написал в Twitter, что «отныне неудобств для пользователей интернета нет».

КНБ по моему поручению провёл тестирование сертификата безопасности в рамках программы Киберщит. Доказана защищенность информационного пространства РК и возможность использования сертификата только в случаях вторжения извне. Неудобств пользователям интернета нет. Благодарю КНБ.

— Qasym-Jomart Toqayev (@TokayevKZ) August 6, 2019

По информации КНБ, применение сертификата в дальнейшем может осуществляться «при угрозе национальной безопасности в виде кибер и информационных атак, с предварительным уведомлением граждан Республики Казахстан».