水曜日、Google、Apple、Mozillaは、カザフスタンのISPがオンラインスパイを可能にする政府発行の証明書のインストールを顧客に要求しているという報道を受けて、自社のウェブブラウザでカザフスタンのルート証明機関（CA）証明書をブロックすると発表した。
ミシガン大学の Censored Planet プロジェクトによると、米国のスパイは「最近、偽のルート CA を使用して、Facebook、Twitter、Google などの Web サイトへの HTTPS 接続に対して中間者 (MitM) 攻撃を実行し始めた」とのことです。
簡単に言えば、ルート CA 証明書は、インターネット ユーザーと Web サイト間の保護された通信を傍受したりアクセスしたりするために悪用される可能性があります。
Censored Planet のレポートによると、研究者らが最初にデータ傍受を検出したのは 7 月 17 日で、それ以来この行為は断続的に続いている (ただし、カザフスタンによるルート CA 証明書の悪用の可能性に関する議論は数年前に遡る)。
この傍受は広範囲に及んでいないようで、国内の6,736台のHTTPSサーバーのうち、わずか459台（7%）にしか影響がないと言われています。しかし、影響を受けているのは37のドメインで、その多くはGoogle、Facebook、Twitterなどのドメインにリンクされたソーシャルメディアやコミュニケーションサービスです。
擁護団体フリーダム・ハウスによると、カザフスタンの人口は1,800万人、インターネット普及率は76パーセントで、インターネットの自由度の欠如を100点満点で62と評価している（100はインターネットにアクセスできないことを意味する）。
2週間前、カザフスタン政府は、当初サイバーセキュリティの向上のためとしていたインターネット監視計画を、国内の弁護士らから批判されたことを受けて中止したと発表した。
カザフスタンの通信事業者は、カザフスタンの通信事業者顧客への通知において、政府が義務付けたセキュリティ証明書は合法的な要求であると主張しました。しかし、カザフスタン共和国国家安全保障委員会は8月6日の声明で、証明書の要求は単なるテストであり、しかも成功したものであると述べました。委員会は、Android、iOS、Windowsデバイスから証明書を削除する手順を示しました。
2015 年、カザフスタンは Mozilla の信頼されたルート ストア プログラムに自国のルート CA 証明書を導入しようとしたが拒否され、その後、法的措置によって阻止されるまで国民自身に証明書をインストールさせようとした。
Mozillaの広報担当者はThe Registerへの電子メールで、「当社が知る限り、現時点ではカザフスタンでは証明書のインストールは法的に義務付けられていません」と述べた。
政府は、この証明書のインストールは人々の安全を守るための自主的な措置だと述べています。しかし、それが真実であることを示す証拠はありません。全く逆です。この証明書が通信の傍受に使用されている事例が確認されているため、証明書をブロックし、ユーザーのプライバシーとセキュリティを保護する措置を講じました。
Mozilla は最近、アラブ首長国連邦でのオンラインスパイ行為を防止するために同様の監視防止措置を講じた。
Mozilla、ルート証明書の共同取引からスヌープ疑惑の集団を排除：UAE拠点のDarkMatterをCAブロックリストに追加
続きを読む
Google、Apple、Mozillaは、少なくとも国際的な影響力が小さい政府に関しては、このような行為は容認できないと考えている。Googleは中国本土向けに検閲機能付き検索エンジンの開発を計画していたが、従業員の反対で頓挫したことを思い出してほしい。
「世界中の人々がインターネットを利用する際にFirefoxを信頼し、特にセキュリティを脅かすような攻撃から守ってくれると信じています」と、Mozillaのトラスト＆セキュリティ担当シニアディレクター、マーシャル・アーウィン氏は声明で述べた。「私たちはこのような行動を軽々しく取ることはありませんが、ユーザーとウェブの完全性を守ることこそがFirefoxの存在意義なのです。」
Googleの声明も同様の憤りを示している。「政府機関であろうとなかろうと、いかなる組織によるものであろうと、Chromeユーザーのデータを侵害しようとするいかなる試みも決して容認しません。この問題に対する保護策を既に導入しており、世界中のユーザーを守るために常に対策を講じていきます」と、Chrome担当シニアエンジニアリングディレクターのパリサ・タブリズ氏は述べた。
「Appleはプライバシーを基本的人権と捉えており、あらゆるApple製品を根本から個人情報保護の観点から設計しています」とCook & CoはThe Register紙に語った。「この証明書がSafariに信頼されないように対策を講じ、ユーザーをこの問題から保護しています。」®
