🇪🇺Европа готовится перехватывать HTTPS-соединения.

В Европе собираются принять новые правила цифровой идентификации. Законодательство, именуемое eIDAS (электронная идентификация, аутентификация и доверительные сервисы) 2.0, было описано как попытка модернизировать первоначальную версию правил цифровой идентификации и доверительных сервисов. Правила распространяются на такие вещи, как электронные подписи, отметки времени, зарегистрированные службы доставки и сертификаты для аутентификации на веб-сайте.

Одно из требований eIDAS 2.0 заключается в том, что производители браузеров доверяют утвержденным правительством центрам сертификации (CA) и не внедряют средства контроля безопасности, выходящие за рамки тех, которые определены Европейским институтом телекоммуникационных стандартов (ETSI).

В соответствии с eIDAS 2.0 одобренные правительством CAS – квалифицированные поставщики услуг доверия, или QTSPS – будут выдавать веб–сайтам сертификаты TLS – квалифицированные сертификаты аутентификации веб-сайта, или QWACS - для веб-сайтов.

Но производителям браузеров, если они заподозрят или обнаружат неправильное использование – например, перехват трафика, – не будет разрешено принимать контрмеры, не доверяя этим сертификатам / QWACS или удаляя корневой сертификат соответствующего CA / QTSP из своего списка доверенных корневых сертификатов.

Проще говоря: для безопасного обмена данными с использованием шифрования TLS – технологии, лежащей в основе безопасных подключений HTTPS, - веб-сайт должен получить цифровой сертификат, выданный центром сертификации и подписанный цифровой подписью, который показывает, что адрес веб-сайта совпадает с сертифицированным адресом.

Когда браузер посещает этот сайт, веб-сайт предоставляет браузеру общедоступную часть своего сертификата, выданного Центром сертификации, и браузер проверяет, действительно ли сертификат был выдан одним из центров сертификации, которому он доверяет, используя корневой сертификат центра сертификации, и является правильным для этого сайта.

Если веб-сайту выдается сертификат от одного из вышеупомянутых центров сертификации с европейским мандатом, поддерживаемых правительством, это правительство может запросить у дружественного центра сертификации копию этого сертификата, чтобы правительство могло выдавать себя за веб–сайт - или запросить какой-либо другой сертификат, которому браузеры будут доверять и который примут для сайта.

Таким образом, правительство может перехватывать и расшифровывать зашифрованный HTTPS-трафик между веб-сайтом и его пользователями, позволяя точно отслеживать, что люди делают с этим сайтом в любое время. Браузер даже не сможет заблокировать сертификат.