Cơ hội cuối cùng để sửa đổi eIDAS: đạo luật bí mật của Liên minh châu Âu (EU) đe dọa an ninh Internet
(last-chance-for-eidas.org)- Một sửa đổi gần như là bản cuối cùng của quy định eIDAS của EU đã được thống nhất trong các cuộc đàm phán trilogue kín, và một điều khoản yêu cầu các trình duyệt web tại châu Âu phải tin cậy các tổ chức chứng thực và khóa mã hóa do chính phủ EU lựa chọn đã được bổ sung vào phút chót
- Điều khoản này mở đường để các khóa do chính phủ kiểm soát được dùng cho nghe lén lưu lượng web được mã hóa, đồng thời ngăn trình duyệt thu hồi độ tin cậy của các khóa đó nếu không có sự cho phép của chính phủ
- Các quốc gia thành viên EU có thể cấp chứng chỉ website có khả năng ảnh hưởng cả tới công dân ngoài lãnh thổ của mình, và không có cơ chế giám sát độc lập nào đối với các khóa được phê duyệt cũng như cách chúng được sử dụng
- Việc kiểm tra bảo mật của trình duyệt bị giới hạn trong các trường hợp được cơ quan tiêu chuẩn EU là ETSI phê duyệt trước, còn lịch sử tiêu chuẩn mật mã của ETSI và nhóm công tác chuyên trách công nghệ nghe lén của tổ chức này càng làm gia tăng lo ngại về độ tin cậy
- Hơn 500 chuyên gia, nhà nghiên cứu an ninh mạng cùng các tổ chức xã hội dân sự, Linux Foundation, Mullvad, DNS0.EU và Mozilla đã kêu gọi dừng thay đổi đối với Điều 45 và bảo vệ hệ thống niềm tin của an ninh web
Nghĩa vụ buộc trình duyệt phải tin cậy tổ chức chứng thực do chính phủ chỉ định
- Bản gần như cuối cùng của quy định eIDAS đã được thống nhất giữa các bên đàm phán trilogue đại diện cho các cơ quan chủ chốt của EU sau nhiều năm làm luật
- Điều khoản mới được đưa vào trong một cuộc họp kín gần đây và, trong khi vẫn chưa được công bố, sẽ được trình ra trước công chúng và nghị viện như một thủ tục gần như chỉ để phê chuẩn trước cuối năm
- Mọi trình duyệt web được phân phối tại châu Âu đều phải tin cậy các tổ chức chứng thực và khóa mã hóa do chính phủ EU lựa chọn
- Các quốc gia thành viên EU có thể chỉ định các khóa mã hóa sẽ được phân phối tới trình duyệt, và trình duyệt không thể tự thu hồi độ tin cậy của các khóa đó nếu không có sự cho phép của chính phủ
Nguy cơ có thể dẫn tới nghe lén lưu lượng web
- Sửa đổi này có thể cho phép các khóa mã hóa do chính phủ kiểm soát được dùng để chặn lưu lượng web được mã hóa trên toàn EU, từ đó mở rộng đáng kể năng lực giám sát công dân của các chính phủ EU
- Bất kỳ chính phủ quốc gia thành viên EU nào cũng có thể cấp chứng chỉ website để dùng cho hoạt động nghe lén và giám sát
- Điều này có thể áp dụng cả với công dân EU không sinh sống hoặc không có liên hệ với quốc gia thành viên đã cấp chứng chỉ
- Không có cơ chế kiểm soát và đối trọng độc lập nào đối với các khóa do quốc gia thành viên phê duyệt và cách chúng được sử dụng
- Tại một số quốc gia thành viên, việc tuân thủ nhà nước pháp quyền không đồng đều, và các trường hợp cưỡng ép bằng mật vụ vì mục đích chính trị cũng đã được ghi nhận, khiến lo ngại càng lớn
Cấu trúc chỉ cho phép kiểm tra do ETSI phê duyệt
- Văn bản này ngăn trình duyệt áp dụng các kiểm tra bảo mật đối với khóa và chứng chỉ của EU, ngoại trừ những kiểm tra đã được cơ quan tiêu chuẩn CNTT của EU là ETSI phê duyệt trước
- Cấu trúc cứng nhắc như vậy có thể gây vấn đề với bất kỳ tổ chức nào, và các cơ quan tiêu chuẩn do chính phủ kiểm soát đặc biệt dễ gặp tình trạng lệch pha về động cơ trong lĩnh vực mật mã
- ETSI làm dấy lên lo ngại về độ tin cậy do từng có tiền lệ tạo ra các tiêu chuẩn mật mã bị tổn hại
- Các ví dụ được nêu gồm chỉ trích của EFF về ETSI TLS, backdoor trong bộ đàm cảnh sát TETRA và backdoor mã hóa điện thoại di động từ thập niên 1990
- ETSI cũng có một nhóm công tác tập trung hoàn toàn vào phát triển công nghệ nghe lén
Khoảng trống thẩm tra do quy trình bí mật tạo ra
- Văn bản này được đưa vào một cách bí mật ở giai đoạn cuối của quy trình lập pháp, gây áp lực lên cả các chuẩn mực dân chủ của châu Âu
- Bản thân thỏa thuận đã được công bố công khai vào cuối tháng 6, nhưng thông báo không đề cập tới chứng chỉ website và cũng không nhắc tới điều khoản mới
- Xã hội dân sự, giới học thuật và công chúng nói chung rất khó thẩm tra hoặc thậm chí biết tới sự tồn tại của đạo luật mà các đại diện của họ đã phê duyệt trong các cuộc họp kín
Sự phản đối từ chuyên gia, xã hội dân sự và ngành công nghiệp cùng các bước còn lại
- Hơn 500 chuyên gia và nhà nghiên cứu an ninh mạng trên toàn thế giới đã ký vào thư ngỏ kêu gọi EU rút lại kế hoạch và bảo vệ an ninh web
- Thư ngỏ cho biết đề xuất Điều 45 sẽ mở rộng đáng kể năng lực giám sát của chính phủ, cung cấp phương tiện để nghe lén lưu lượng web được mã hóa và làm suy yếu các cơ chế giám sát hiện có mà công dân châu Âu đang dựa vào
- Các tổ chức xã hội dân sự cũng ủng hộ thư ngỏ
- Các doanh nghiệp và tổ chức xây dựng, bảo vệ Internet cũng đưa ra lập trường riêng
- Văn bản này sẽ được đưa ra phê duyệt tại cuộc họp trilogue kín cuối cùng diễn ra ở Brussels vào ngày 8 tháng 11
- Sau đó văn bản sẽ được công bố và bước vào quy trình phê chuẩn chính thức tại Nghị viện châu Âu
- Việc phê chuẩn chính thức được dự kiến diễn ra trong vài tháng đầu năm 2024
- Các văn bản đàm phán trilogue thường được thông qua thành luật mà không sửa đổi, nên cuộc bỏ phiếu này được xem là thủ tục mang tính hình thức
- Công dân châu Âu có thể gửi quan ngại tới nghị sĩ Nghị viện châu Âu phụ trách hồ sơ eIDAS là Romana JERKOVIĆ
- Các chuyên gia an ninh mạng, nhà nghiên cứu và đại diện NGO có thể xem xét ký vào thư ngỏ tại eidas-open-letter.org
- Tài liệu liên quan:
1 bình luận
Ý kiến trên Hacker News
Nếu có ai định nói rằng trọng tâm của dự luật này không phải là giám sát, thì đúng là giám sát chính là trọng tâm
Gần đây Đức cũng đã cố tấn công trung gian người dùng jabber.ru[1], và nếu có một cơ quan chứng thực có thể bị buộc phát hành bất kỳ chứng chỉ nào, thì rõ ràng nó sẽ được dùng cho mục đích giám sát
[1] https://notes.valdikss.org.ru/jabber.ru-mitm/
Điều khoản yêu cầu trình duyệt phải thêm một cơ quan chứng thực cụ thể có thể là để phục vụ gián điệp, nhưng toàn bộ eIDAS không hẳn nhằm hỗ trợ giám sát mà gần với việc hợp nhất nhiều dịch vụ chứng chỉ điện tử của EU hơn
Ví dụ, nghiệp vụ ngân hàng, ký các tài liệu chính thức như điểm số ở trường, v.v. đều là một phần của eIDAS; trong những trường hợp này, không có danh sách cơ quan chứng thực đáng tin cậy như trên trình duyệt, nên việc tự kiểm tra thông tin chứng chỉ để xem nguồn gốc có đúng hay không là rất quan trọng
Phía trình duyệt dường như đã có tiêu chuẩn riêng mà họ cho là tốt hơn eIDAS nên không muốn áp dụng; theo dao cạo Occam, có vẻ hợp lý hơn khi xem đây không phải âm mưu, mà đơn giản là EU đã thêm kiểu “trình duyệt cũng phải làm” thay vì chỉ loại trừ trình duyệt
Ngay từ đầu, cơ quan chứng thực quốc gia của Đức lẽ ra không được phép phát hành chứng chỉ .ru, và ngay cả khi bị cơ quan tình báo gây sức ép, nhà vận hành cơ quan chứng thực cũng sẽ không muốn để lại một bản ghi lạm dụng rõ ràng trong nhật ký minh bạch chứng chỉ
Các trình duyệt nên sắp xếp lại cho đúng để hỗ trợ cơ quan chứng thực bị giới hạn theo miền, đồng thời thêm danh sách cho phép chọn lọc cơ quan chứng thực cho từng website cụ thể
Ngay cả khi không có minh bạch chứng chỉ, việc chứng chỉ máy chủ thay đổi vẫn hiện ra với client, và nếu có nỗ lực kiểu Let’s Encrypt thì cũng có thể làm cho nhà vận hành máy chủ nhìn thấy
UI của trình duyệt cũng sẽ hiển thị chứng chỉ đủ điều kiện mới khác với chứng chỉ hiện có, nên tôi không rõ liệu nó có thực sự hoạt động hay không
Vấn đề lớn hơn là để cách này hoạt động, trong quy định phải có điều khoản cho phép cấp cho cơ quan thực thi pháp luật hoặc cơ quan an ninh những tuyên bố giả mạo về một danh tính hiện có
Các phiên bản trước dường như không có nội dung như vậy, và nó cũng khác với giấy tờ tùy thân giả dùng cho điều tra chìm. Vì những giấy tờ đó thường là một nhân vật được dựng lên, chứ không phải mạo danh một người thật khác
Muốn biết chi tiết thì phải đọc nguyên văn quy định được đề xuất, nhưng cả nhà lập pháp lẫn phía kích động phẫn nộ dường như đều đang giấu bản dự thảo, như thể không muốn chúng ta tự phán đoán
Liên kết liên quan:
https://mullvad.net/en/blog/2023/11/2/eu-digital-identity-framework-eidas-another-kind-of-chat-control/
https://alecmuffett.com/article/108139
Hai liên kết này lần lượt đến từ https://news.ycombinator.com/item?id=38109581 và https://news.ycombinator.com/item?id=38109731, và có vẻ các bình luận đã được gộp vào đây
Rất đáng lo ngại, nhưng nói thêm bên lề thì đây không phải là dự luật bí mật
Tất cả luật của EU đều được đăng trên website chính thức bằng mọi ngôn ngữ chính thức, và hầu hết luật, bao gồm luật này, phải được Nghị viện châu Âu do dân bầu trực tiếp phê chuẩn công khai trước khi có hiệu lực
Mong là bớt kiểu clickbait giật gân như thường thấy trên báo lá cải Anh
Có thể bạn nghĩ những cách diễn đạt như vậy giúp truyền tải tính cấp bách tới công chúng, nhưng thành thật mà nói, nó chỉ khiến tôi nghi ngờ tính xác thực của các lập luận trong bài
Tuy vậy, trong trường hợp này tôi vẫn tin Mozilla, và hy vọng họ không bóp méo chính nội dung của luật
Nghị viện EU không chỉ là nơi giơ tay cho có, và bản thân vấn đề đã đủ nghiêm trọng nên không cần clickbait hay phóng đại sáo rỗng
Tuy nhiên có lẽ họ viết vậy vì muốn nói ngắn gọn
Tôi cũng đã xem nhiều bài thuyết trình trên YouTube, nhưng dù đã được tải lên khá lâu, theo tôi thấy tất cả đều có dưới 100 lượt xem
Nếu bản dự thảo hiện là tài liệu mật thì việc gióng chuông cảnh báo cũng là hợp lý
Các trình duyệt mã nguồn mở sẽ ra sao? Có bị buộc phải triển khai không?
Chính phủ sẽ kiểm tra mã để ngăn phân phối phiên bản đã gỡ chứng chỉ của chính phủ, hay sẽ biến trình duyệt mã nguồn mở thành bất hợp pháp?
Nói lại lần nữa, bất kỳ ai định làm gì đó mà có chút đầu óc cũng sẽ không bị bắt bằng thứ này. Chỉ tất cả những người còn lại mới mắc phải
Tôi cũng tự hỏi liệu nó có liên quan đến trò nhảm nhí mà Google từng muốn làm, nhằm không cho sửa đổi trang web bằng trình chặn quảng cáo và những thứ tương tự hay không. Kiểu như nếu dùng trình duyệt chưa được chứng nhận thì không thể duyệt web nữa
Apple cũng đã cố đưa ra tính năng quét CSAM phía client dựa trên kỳ vọng tương tự, và không lâu sau đó đã xuất hiện các đề xuất như Chatcontrol
Về trình duyệt mã nguồn mở, có thể xem bình luận khác trong cùng chủ đề[1]
[1] https://news.ycombinator.com/item?id=38110667
Nếu đề xuất này khiến bạn lo ngại thì cũng nên xem danh sách các tổ chức chứng thực mà trình duyệt hiện tại tin cậy
Tất cả các tổ chức chứng thực đó đều có thể cấp chứng chỉ giả mạo mà trình duyệt tin cậy, và có thể bị dùng cho tấn công trung gian
Ví dụ, trong các tổ chức chứng thực có trong Firefox, những cái tên như Beijing Certificate Authority, China Financial CA, Guang Dong CA có thể khiến người ta thấy không yên tâm
Hệ thống tổ chức chứng thực của trình duyệt về bản chất đã hỏng, và nếu một tác nhân nhà nước có thể chặn lưu lượng IP với sự hợp tác của ISP và tạo chứng chỉ giả mạo với sự hợp tác của tổ chức chứng thực, họ sẽ có thể xem toàn bộ lưu lượng
Các trình duyệt lớn như Chrome, Safari, Edge chỉ chấp nhận các chứng chỉ được công bố trong nhật ký minh bạch chứng chỉ
Nếu phát hiện một tổ chức chứng thực đã cấp chứng chỉ dùng cho tấn công trung gian, các trình duyệt sẽ nhanh chóng thu hồi sự tin cậy
Vì vậy, trên thực tế không dễ dùng hệ thống tổ chức chứng thực hiện có cho tấn công trung gian
Ngược lại, đề xuất eIDAS khiến trình duyệt không thể ngừng tin cậy tổ chức chứng thực đã bị dùng cho tấn công trung gian, và cấm các kiểm tra bắt buộc như minh bạch chứng chỉ trừ khi EU đồng ý
Điều này tạo ra một cơ chế rất thực dụng cho các cuộc tấn công trung gian của chính phủ
Trước hết, họ phải truy cập được dịch vụ sử dụng chứng chỉ đó
Như một thử nghiệm thú vị, có thể ghi lại tất cả chứng chỉ của các trang web mình thường dùng trong khoảng một tháng rồi xem có mục nào đáng ngờ không
Không biết có tiện ích mở rộng nào cho phép làm thử nghiệm như vậy không, nhưng danh sách kết quả sẽ hữu ích hơn nhiều
Nếu thông tin liên lạc đi qua Trung Quốc đại lục, nên giả định rằng toàn bộ lưu lượng Internet đang bị giám sát tích cực bằng những cách dễ hơn nhiều so với tổ chức chứng thực
Ngược lại, ở EU giả định đó rõ ràng kém đúng hơn, và tôi cũng không nghĩ chính phủ Trung Quốc dùng luật để buộc Firefox tin cậy một tổ chức chứng thực. Trớ trêu thay là vậy
Nghĩa vụ của EU dường như gần như không có yêu cầu như vậy, nhưng lại bắt buộc đưa chứng chỉ gốc vào
Vì thế không thể xem cách tiếp cận của Diễn đàn Trình duyệt/Tổ chức chứng thực và eIDAS là giống nhau
Với tư cách là một người ở EU có hiểu biết về công nghệ, tôi muốn bổ sung một góc nhìn có thể ủng hộ dự luật này. Không nhất thiết là lập trường của tôi, và tôi vẫn đang tạm hoãn phán xét
Hành chính số của nước chúng tôi đã khiến cuộc sống tiện lợi hơn rất nhiều
Chứng minh nhân dân đã là bắt buộc từ nhiều thập kỷ trước, nhưng giờ có chip chứa chứng chỉ để xác thực, ký số, v.v., nhờ đó có thể kiểm tra thuế, điền biểu mẫu chính phủ, kiểm tra phạt giao thông và ký tài liệu chính thức ngay tại nhà
Theo tôi hiểu, việc này phụ thuộc vào việc tác nhân người dùng chấp nhận một số tổ chức chứng thực nhất định, và quan trọng đến mức nếu tổ chức chứng thực không cập nhật hoặc không được nhận diện, trình duyệt có thể chặn truy cập vào một số phần của các trang hành chính
Dự luật này có vẻ chuyển một phần hạ tầng tổ chức chứng thực sang quyền quản lý của chính phủ
Như thường thấy với các dự luật liên quan đến EU, nó cưỡng chế chuyển quyền lực vốn nằm trong tay các công ty tư nhân, thường là công ty Mỹ, sang chính phủ EU
Nếu mức độ tin cậy vào chính phủ cao hơn hoặc bằng tin cậy vào doanh nghiệp tư nhân, điều đó có thể không nghe quá tệ
Tôi không định nói đúng hay sai, nhưng nghĩ điều này có thể giúp hiểu vì sao nhiều người ở EU có thể không phản đối một dự luật như vậy quá mạnh
Nó khiến không thể từ chối các tổ chức chứng thực của chính phủ này, đồng thời cung cấp cả phương tiện theo dõi hoạt động
Trên thực tế, nó gần giống như trao cho quốc gia EU mà bạn ít tin cậy nhất quyền truy cập vào lịch sử duyệt web và một phần lưu lượng đã được giải mã
Lẽ ra có thể thu hẹp phạm vi, nhưng nhìn vào tác động thì có thể đó không phải là điều họ thật sự muốn
Phần lớn ồn ào dường như đến từ việc cưỡng ép đưa chính phủ vào hạ tầng tổ chức chứng thực, và việc tác động của nó vươn ra ngoài EU
Về điểm sau, tôi luôn thấy kỳ lạ khi mọi kho gốc mặc định đều bao gồm hàng trăm tổ chức chứng thực trên toàn thế giới
Về cơ bản, nó giả định rằng ta tin cậy như nhau các tập đoàn lớn như Google, Amazon, các nhà nước như Staat der Nerderlanden, và các tổ chức gây ngại như Hongkong Post office
Vì vậy, cũng không ngạc nhiên khi mọi người nổi dậy nếu EU nói rằng họ sẽ đặt thêm một chiếc ghế vào bàn này
Chẳng phải sẽ hợp lý hơn nếu người dùng kiểm soát và chịu trách nhiệm nhiều hơn với các chứng chỉ trong kho gốc sao? Chẳng phải nên giới hạn tổ chức chứng thực theo từng tên miền sao?
Nếu một tổ chức chứng thực được EU phê duyệt chỉ bảo đảm tính xác thực của các dịch vụ EU, chứ không thể bảo đảm cho trang mua sắm hay whitehouse.gov, thì có thể chấp nhận được
Tôi luôn cảm thấy sẽ hợp lý hơn nhiều nếu tổ chức chứng thực bị giới hạn chặt hơn theo từng trường hợp sử dụng tin cậy cụ thể
Có vẻ mục tiêu là thay thế tất cả các tổ chức chứng thực để EU có thể xem nội dung của mọi lưu lượng được proxy trong và ngoài quốc gia
Những thứ đó có lẽ đều sẽ không hiệu quả với những kẻ xấu thực sự
Nếu tổ chức chứng thực là doanh nghiệp hoặc tổ chức phi lợi nhuận, sự tin cậy chính là sản phẩm, và nếu Let’s Encrypt làm hỏng việc thì khách hàng có thể chuyển sang nơi khác
Ở EU, có lẽ họ sẽ cố cài chứng chỉ của tổ chức chứng thực từ mọi quốc gia thành viên vào mọi trình duyệt, khi đó chính phủ của nước thành viên A có thể tấn công trung gian kết nối của công dân nước thành viên B
Dù website nhận chứng chỉ từ bất kỳ nhà cung cấp hiện tại nào, bất kỳ chính phủ EU nào cũng có thể tấn công trung gian người dùng mà công ty không biết
Ngoài ra, nếu về mặt kỹ thuật có thể lách dự luật, tôi cũng nghi ngờ nó thực sự giúp được bao nhiêu. Vì “tội phạm” cũng sẽ để ý bằng cách dùng trình duyệt phù hợp
Nếu một trang web chính phủ muốn dùng tổ chức chứng thực của riêng mình thì đó là vấn đề riêng, còn điều quan trọng cho xác minh danh tính là khóa được lưu trong căn cước
Trích từ bản gốc:
https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf
Điều 45 khoản 2 nêu rằng “các chứng thư đủ điều kiện để xác thực website quy định tại khoản 1 phải được trình duyệt web công nhận”
Ngoài ra, trình duyệt web phải hiển thị dữ liệu định danh được cung cấp theo cách đó một cách thân thiện với người dùng; đồng thời, ngoại trừ các doanh nghiệp siêu nhỏ và nhỏ trong 5 năm đầu kể từ khi bắt đầu hoạt động với tư cách nhà cung cấp dịch vụ duyệt web, phải hỗ trợ các chứng thư đủ điều kiện để xác thực website và bảo đảm khả năng tương tác
Điều 45a khoản 3 nêu rằng chứng thực điện tử đủ điều kiện về thuộc tính được cấp tại một quốc gia thành viên phải được công nhận là chứng thực điện tử đủ điều kiện tại các quốc gia thành viên khác
Điều 45a khoản 4 nêu rằng chứng thực thuộc tính do cơ quan khu vực công trực tiếp cấp hoặc cấp thông qua đại diện phải được công nhận tại mọi quốc gia thành viên là chứng thực do cơ quan khu vực công đó cấp
Trong các cuộc đàm phán ba bên gần đây, khoản 45(2a) đã được bổ sung nhưng vẫn chưa được công bố, vì vậy mới có phàn nàn về tính bí mật
Thư ngỏ (https://eidas-open-letter.org) cũng ám chỉ điều này
Dự luật được đề xuất cũng ngăn việc đưa vào các kiểm tra bảo mật khi xác minh chứng thư dùng cho lưu lượng web được mã hóa trong Điều 45 khoản 2a
Với câu chữ hiện tại, sẽ không thể áp đặt bất kỳ yêu cầu bắt buộc nào đối với chứng thư website của EU ngoài những gì được nêu trong tiêu chuẩn ETSI
Điều này thật khủng khiếp. Bởi nếu EU không đồng ý, việc trình duyệt yêu cầu Certificate Transparency, cấm các thuật toán băm yếu như SHA-1, hay yêu cầu khóa kháng lượng tử đều có thể bị cấm
Khi đó danh sách của trình duyệt chỉ cần thêm một CA; nếu cần có thể thêm/xóa, hoặc chỉ thêm khi tương tác với chính phủ rồi gỡ khỏi trình duyệt sau khi xong
Với người dùng không rành kỹ thuật, có lẽ ai đó cũng có thể làm một chương trình tự động thực hiện việc này. Chỉ cần đại loại hai nút “cần truy cập chính phủ” và “không muốn truy cập chính phủ nữa”
Về căn bản, toàn bộ vấn đề của eIDAS quy về một điều. Không thể cưỡng ép niềm tin
Nếu bị cưỡng ép thì đó không phải là niềm tin. Nó là một thứ khác
Việc bắt buộc trình duyệt phải “tin cậy” một CA cụ thể sẽ phá vỡ toàn bộ mô hình tin cậy của Internet
Điều tôi tò mò là họ thật sự không hiểu điều này, hiểu nhưng không quan tâm, hay chủ động muốn phá hủy niềm tin đó
Ấn Độ cũng đang chuẩn bị một dự luật yêu cầu hệ điều hành và trình duyệt đưa CA của nước mình vào, đồng thời đã khởi động thử thách trình duyệt web riêng https://iwbdc.in/
CA của Ấn Độ từng bị gỡ bỏ vì phát hành trái phép trong quá khứ https://pkic.org/2014/07/24/in-the-wake-of-unauthorized-certificate-issuance-by-the-indian-ca-nic-can-government-cas-still-be-considered-trusted-third-parties/
Nhờ vậy tôi biết đến hệ thống ghi số kiểu Ấn Độ, và bức tường mang tên “bản địa hóa thật khó” lại được xây thêm một viên gạch
https://en.m.wikipedia.org/wiki/Indian_numbering_system
Rốt cuộc nghĩa là gì? Đây có thật là một cuộc thi nghiêm túc do chính phủ tài trợ không?
Nếu các chứng thư do những CA đó phát hành được liên kết với một dịch vụ Certificate Transparency độc lập với EU, và được giới hạn trong một tên miền cấp cao quốc gia cụ thể, thì hoàn toàn ổn
Tôi nghĩ không ai có thể thành thật nói rằng tình trạng hiện nay đủ vững chắc, sau khi nhiều website của Nga, thậm chí cả ngân hàng lớn nhất, về cơ bản đã mất quyền tiếp cận hạ tầng CA mà các trình duyệt thông thường sử dụng
Vì vậy EU có vẻ như đang phòng ngừa rủi ro hạ tầng tiềm tàng
Để giảm nguy cơ tấn công trung gian, tôi cho rằng chỉ cần Certificate Transparency và giới hạn CA trong các tên miền cấp cao cụ thể — chẳng hạn không cho một CA RU giả định phát hành chứng thư cho .eu hoặc .com — là đủ
Động thái này nhằm buộc mọi người cài chứng thư của CA đó dưới những lý do giả tạo, để khi cần nhà nước có thể phá HTTPS và xem nội dung
Mục tiêu quá rõ ràng và hoàn toàn không liên quan gì đến độ vững chắc của hạ tầng
Họ chỉ muốn tước đi quyền riêng tư Internet của mọi người