Казахстан: дважды на одни грабли-2

[beldmit]

Казахстан в начале декабря опять попытался устроить MITM национального масштаба. В этот раз новый корневой сертификат ведущие браузеры выпилили за 2 недели, а не за месяц.

Уже не в первый раз слышу аргумент "ну ок, выпилили корневой сертификат из браузера - сделаем свой браузер".

Сделаете вы свой браузер. Собирать Мозиллу или Chromium научиться можно, хотя лично я бы этим предпочёл не заниматься, потому что выяснится, что там по 100500 нетривиальных деталей, которые сами разработчики обложили костылями и давно забыли. Но самое интересное тут только начнётся.

Дальше правительству Нагонии и Гориваса придётся обеспечить установку этого добра на все компы и смартфоны. Да, и на тот телефон с Android 6.0 от давно покойной фирмы "Noname Inc" с уставным капиталом 10 юаней. И много куда ещё. Иначе 30% пользователей без любимого YouTube на вас тупо обидятся, даже если они сознательные граждане. В общем, придётся искать баланс между геморроем в разработке и поддержке и долей обиженных пользователей.

При этом Apple, Google и Microsoft вам способствовать в установке этого поделия не будут, а скорее наоборот.

Короче, лояльное население обидится, нелояльное будет сидеть через Tor, ну и сколько-то денег уйдёт. С другой стороны - может, тех денег на что-то более вредное не хватит...

Comments

[vitus_wagner]

Про собирание мозиллы и хромиума надо у avnik спросить. Он этим занимается в своем Nix. На ряду с парой сотен других пакетов. И ничего. С другй стороны вот лично я собираю v8 под хренову кучу дистрибутивов linux (ради plv8). v8 конечно, не весь Chromium, но по-моему достаточно большая его часть, чтобы хуже уже не было. А к февралю, глядишь и под винду сподоблюсь собирать.

[beldmit]

Я подозреваю, что у него (и у тебя) это отлаженная система, которая содержит некоторое количество тайного знания, которое туда попало в процессе отладки. И дальше вопрос, насколько шевелится код.

[gegmopo4]

Ну, деньги-то уйдут не в воздух, а в чей-то карман. Для чего и пилят.

[beldmit]

Это конечно...

[brmail]

вы воспринимаете ситуацию как оно должно быть. А поступят как проще. Оно просто перестанет коннектится вовне казахстана и не начнет обратно, пока юзеры не поставят себе "правильный браузер". С песней и строем. А за всякие противные vpn и прокси будут как в китае - карать сильно и эффективно.

[livelight]

А каким образом при наличии правильного браузера оно таки начнёт коннектиться? И можно ли это эмулировать?

[brmail]

А что, установка в систему "правильного" сертификата во время установки браузера это проблема? Этакая фигня во многих корпоративных системах легко организована, почему это будет проблемой в масштабах страны?

[livelight]

Я про другое спрашиваю: как отрубить все коннекты вовне из неправильных браузеров, оставив притом коннект из правильных, и можно ли имитировать для фаервола желаемые им свойства правильного?

[brmail]

подменой DNS адресов на уровне провайдера, и блокированием ip адресов при попытки их прямого использования. Тут изобретать ничего не надо - все именно так работает в корпоративных системах, которые ограждают служащих от использования всяких вконтакте и гмейлов во время работы.
Да, естественно это подразумевает, что провайдеры находятся под контролем. Но это как раз дело плевое.

[drraug]

ну тащемта старлинк для того и делают

[brmail]

да брось, показательно посадят десяток человек лет на пять, после запрета использования этого чуда на определенной территории, и все сразу решится - старлинк есть, но не применим.

[ufm]

Никогда не интересовался - а в случае МИТМ к гуглу и прочим - обязательно в сторону абонента по HTTPS отдаваться?

[beldmit]

Чтобы отдаваться не по HTTPS, придётся дополнительно извращаться

[ufm]

Если обмен трафиком по https не захардкожен (в том числе и на уровне браузера) - то не вижу преград. Даже наоборот - нагрузка на точку в которой МИТМ делается будет ниже, так как не нужно шифровать трафик идущий в сторону абонента.

[brmail]

я несколько не понимаю, это как бы гипотетический вопрос? попробуй например сейчас открыть UI гмейла без https, получится?