eIDAS değişikliği için son şans: Avrupa Birliği’nin (AB) internet güvenliğini tehdit eden gizli yasası
(last-chance-for-eidas.org)- eIDAS düzenlemesinin nihai metnine çok yakın bir değişiklik taslağı, gizli trilog müzakerelerinde uzlaşıldı ve Avrupa’daki web tarayıcılarının AB hükümetlerinin seçtiği sertifika otoritelerine ve şifreleme anahtarlarına güvenmesini zorunlu kılan bir hüküm sonradan eklendi
- Bu hüküm, hükümet kontrolündeki anahtarların şifrelenmiş web trafiğinin dinlenmesinde kullanılmasının önünü açıyor ve tarayıcıların hükümet izni olmadan bu anahtarlara olan güveni geri çekmesini engelliyor
- AB üye devletleri, kendi ülkeleri dışındaki vatandaşları da etkileyebilecek web sitesi sertifikaları verebilir ve onaylı anahtarlar ile bunların kullanım biçimi üzerinde bağımsız bir denetim mekanizması bulunmuyor
- Tarayıcıların güvenlik kontrolleri, yalnızca AB standart kurumu ETSI tarafından önceden onaylanmış durumlarla sınırlandırılıyor; ETSI’nin kriptografi standartlarındaki geçmişi ve dinleme teknolojilerine adanmış çalışma grubu güven endişelerini artırıyor
- 500’den fazla siber güvenlik uzmanı, araştırmacı ve sivil toplum kuruluşunun yanı sıra Linux Foundation, Mullvad, DNS0.EU ve Mozilla, Article 45 değişikliğinin durdurulmasını ve web güvenliği güven modelinin korunmasını talep ediyor
Tarayıcılara getirilen hükümet sertifika otoritesine güvenme zorunluluğu
- eIDAS düzenlemesinin neredeyse nihai metni, yıllar süren yasama sürecinin ardından AB’nin başlıca kurumlarını temsil eden trilog müzakerecileri arasında uzlaşıldı
- Yeni hüküm kısa süre önce kapalı bir toplantıda eklendi ve henüz kamuoyuna açıklanmamışken yıl sonundan önce halka ve parlamentoya fiilen onay süreci olarak sunulması planlanıyor
- Avrupa’da dağıtılan tüm web tarayıcıları, AB hükümetlerinin seçtiği sertifika otoritelerine ve şifreleme anahtarlarına güvenmek zorunda olacak
- AB üye devletleri tarayıcılara dağıtılacak şifreleme anahtarlarını belirleyebilecek ve tarayıcılar hükümet izni olmadan bu anahtarlara olan güveni geri çekemeyecek
Web trafiğinin dinlenmesine yol açabilecek risk
- Değişiklik taslağı, hükümet kontrolündeki şifreleme anahtarlarının AB genelinde şifrelenmiş web trafiğini ele geçirmek için kullanılabilmesini mümkün kılıyor ve AB hükümetlerinin vatandaş gözetimi kapasitesini büyük ölçüde genişletiyor
- Herhangi bir AB üye devleti hükümeti, dinleme ve gözetim amacıyla kullanılacak web sitesi sertifikaları verebilir
- Bu, sertifikayı veren üye devlette yaşamayan veya onunla bağlantısı bulunmayan AB vatandaşları için de geçerli olabilir
- Üye devletlerin onayladığı anahtarlar ve bunların kullanım şekli üzerinde bağımsız denetim ya da denge mekanizması yoktur
- Bazı üye devletlerde hukuk devleti ilkesine uyumun tutarlı olmaması ve siyasi amaçlı gizli polis baskısına dair belgelenmiş örnekler, endişeyi büyütüyor
Yalnızca ETSI onaylı kontrollerin izinli olduğu yapı
- Metin, tarayıcıların AB anahtarları ve sertifikalarına güvenlik kontrolleri uygulamasını engelliyor; istisnalar yalnızca AB’nin BT standart kurumu ETSI tarafından önceden onaylanmış kontrollerle sınırlı
- Bu katı yapı herhangi bir kurum için sorun yaratabilir ve hükümet kontrolündeki standart kuruluşları özellikle kriptografi alanında teşvik uyumsuzluklarına açıktır
- ETSI, zayıflatılmış kriptografi standartları üretmiş olması nedeniyle güven endişesi yaratıyor
- Buna örnek olarak EFF’nin ETSI TLS eleştirisi, TETRA polis telsizi arka kapısı ve 1990’lardaki cep telefonu şifreleme arka kapısı gösteriliyor
- ETSI bünyesinde, tamamen dinleme teknolojileri geliştirmeye odaklanan bir çalışma grubu da bulunuyor
Gizli sürecin yarattığı inceleme boşluğu
- Söz konusu metin, yasama sürecinin son aşamasında gizli biçimde eklendiği için Avrupa’nın demokratik normları üzerinde de baskı yaratıyor
- Uzlaşının kendisi haziran sonunda kamuya açıklandı, ancak açıklama web sitesi sertifikalarından söz etmedi ve yeni hükmü de ele almadı
- Sivil toplum, akademi ve genel kamuoyu, temsilcilerinin kapalı toplantılarda onayladığı yasayı incelemekte ya da varlığından haberdar olmakta zorlandı
Uzmanlar, sivil toplum ve sektörün itirazı ile kalan süreç
- Dünyanın dört bir yanından 500’den fazla siber güvenlik uzmanı ve araştırmacı, açık mektubu imzalayarak AB’den planı geri çekmesini ve web güvenliğini korumasını istedi
- Açık mektup, Article 45 önerisinin hükümetlerin gözetim kapasitesini ciddi biçimde artırdığını, şifrelenmiş web trafiğinin dinlenmesine imkân verdiğini ve Avrupalı vatandaşların dayandığı mevcut denetim mekanizmalarını zayıflattığını belirtiyor
- Sivil toplum kuruluşları da açık mektubu destekliyor
- İnterneti inşa eden ve koruyan şirketler ile kuruluşlar da ayrı bir tutum ortaya koydu
- Linux Foundation
- Mullvad
- DNS0.EU
- Mozilla tarafından yayımlanan sektör bildirisi
- Metin, 8 Kasım’da Brüksel’de yapılacak son gizli trilog toplantısında onaya sunulacak
- Ardından metin kamuya açıklanacak ve Avrupa Parlamentosu’nda resmi onay sürecine girecek
- Resmi onayın 2024’ün ilk ayları içinde gerçekleşmesi bekleniyor
- Trilog müzakere metinleri genellikle değişmeden yasalaştığı için bu oylama büyük ölçüde biçimsel bir adım olarak görülüyor
- Avrupa vatandaşları, eIDAS dosyasından sorumlu Avrupa Parlamentosu üyesi Romana JERKOVIĆ ile endişelerini paylaşabilir
- Siber güvenlik uzmanları, araştırmacılar ve STK temsilcileri, eidas-open-letter.org üzerindeki açık mektubu imzalamayı değerlendirebilir
- İlgili kaynaklar:
1 yorum
Hacker News görüşleri
Bu yasa tasarısının özünün gözetim olmadığını söylemeye çalışan biri varsa: gözetim tam da işin özü
Daha yakın zamanda Almanya jabber.ru kullanıcılarına ortadaki adam saldırısı yapmaya çalıştı[1]; herhangi bir sertifikayı verdirebileceğiniz bir sertifika otoritesi varsa, bunun gözetim amacıyla kullanılacağı açık
[1] https://notes.valdikss.org.ru/jabber.ru-mitm/
Tarayıcıların belirli sertifika otoritelerini eklemesini gerektiren hüküm casusluk amaçlı olabilir; ancak eIDAS'ın bütünü, gözetimi kolaylaştırmaktan ziyade AB'deki çeşitli elektronik sertifika hizmetlerini birleştirmeye daha yakın
Örneğin bankacılık işlemleri, okul notları gibi resmi belgelerin imzalanması da eIDAS'ın bir parçası; burada tarayıcılardan farklı olarak güvenilir sertifika otoritesi listesi olmadığı için sertifika bilgilerini doğrudan kontrol edip kaynağın doğru olup olmadığını görmek önemli
Tarayıcı tarafının zaten eIDAS'tan daha iyi gördüğü kendi standartları var gibi görünüyor ve bunu uygulamak istemiyorlar; komplo teorisindense, AB'nin yalnızca tarayıcıları dışarıda bırakmak yerine basitçe “tarayıcılar da yapsın” diye ekleme yaptığı yorumu Occam'ın usturasına daha uygun görünüyor
Alman devlet sertifika otoritesi en başta .ru sertifikası verebilmemeli; istihbarat kurumlarının baskısı altında kalsa bile, bir sertifika otoritesi işletmecisi sertifika şeffaflığı günlüklerinde açık bir kötüye kullanım kaydı bırakmak istemeyecektir
Tarayıcıların bunu doğru düzgün toparlayıp alan adıyla sınırlı sertifika otoritelerini desteklemesi ve belirli web siteleri için sertifika otoritesi bazında seçici izin listeleri de eklemesi gerekiyor
Sertifika şeffaflığı olmasa bile sunucu sertifikasının değiştiği istemci tarafından görülebilir; Let’s Encrypt benzeri girişimler varsa bu durum sunucu operatörüne de görünür hale getirilebilir
Tarayıcı arayüzü de yeni nitelikli sertifikaları mevcut sertifikalardan farklı gösterecek; bu yüzden pratikte işe yarayıp yaramayacağından emin değilim
Daha büyük sorun, bu yöntemin çalışması için düzenlemede, mevcut kimlikler hakkında sahte iddiaların kolluk kuvvetlerine veya güvenlik kurumlarına verilebilmesini sağlayan bir hüküm bulunması gerektiği
Önceki sürümde böyle bir içerik yok gibi görünüyordu; bu, gizli görevler için kullanılan sahte kimliklerden de farklı. Çünkü bu tür kimlikler genelde uydurma kişilere aittir, gerçekten var olan başka birinin kimliğine bürünmek değildir
Ayrıntılar ancak önerilen düzenlemenin asıl metni okunursa anlaşılabilir; fakat hem yasa koyucular hem de öfkeyi körükleyen taraf, kendi kararımızı vermemizi istemiyor gibi taslağı saklıyor
İlgili bağlantılar:
https://mullvad.net/en/blog/2023/11/2/eu-digital-identity-framework-eidas-another-kind-of-chat-control/
https://alecmuffett.com/article/108139
Sırasıyla https://news.ycombinator.com/item?id=38109581 ve https://news.ycombinator.com/item?id=38109731 üzerinden gelen bağlantılar; yorumlar da buraya birleştirilmiş gibi görünüyor
Çok kaygı verici, ama yan bir not olarak: bu gizli bir yasa tasarısı değil
Tüm AB yasaları resmi web sitesinde tüm resmi dillerde yayımlanır; bu yasa dahil çoğu yasa da yürürlüğe girmeden önce doğrudan seçilmiş Avrupa Parlamentosu tarafından kamuya açık biçimde onaylanmak zorundadır
Britanya tabloidlerinde görülebilecek türden sansasyonel clickbait daha az kullanılsa iyi olur
Böyle ifadelerin aciliyeti halka aktarmaya yardımcı olduğunu düşünebilirsiniz; ama açıkçası makaledeki iddiaların doğruluğundan şüphe etmeme neden oluyor
Yine de bu durumda Mozilla'ya güveniyorum ve yasanın içeriğini çarpıtmamış olmalarını umuyorum
AB Parlamentosu basit bir lastik damga değil; konunun kendisi yeterince ciddi, dolayısıyla clickbait'e ve bariz abartılara gerek yok
Yine de kısa yazmaya çalışırken böyle olmuş sanırım
YouTube sunumlarını da çok gördüm; yüklenmelerinin üzerinden epey geçmiş olmasına rağmen, baktığımda hepsinin izlenme sayısı 100'ün altındaydı
Taslak şu anda gizliyse alarm zillerini çalmak bence de makul
Açık kaynak tarayıcılara ne olacak? Zorla uygulamak mı gerekecek?
Hükümet kodu denetleyip devlet sertifikalarının kaldırıldığı sürümlerin dağıtılmasını mı engelleyecek, yoksa açık kaynak tarayıcıları yasa dışı mı ilan edecek?
Tekrar söyleyeyim: bir şey yapmaya niyetli olup azıcık aklı olan hiç kimse buna yakalanmaz. Sadece geri kalan herkes takılır
Google'ın reklam engelleyiciler vb. aracılığıyla web sayfalarının değiştirilmesini engellemeye çalıştığı saçmalıkla bağlantılı olup olmadığını da merak ediyorum. Sertifikalı olmayan bir tarayıcı kullanırsanız web'de gezinememeniz gibi
Apple da benzer beklentilerle istemci tarafında CSAM taraması özelliğini çıkarmaya çalışmıştı; kısa süre sonra da Chatcontrol gibi öneriler geldi
Açık kaynak tarayıcılar konusunda aynı başlıktaki başka bir yoruma bakılabilir[1]
[1] https://news.ycombinator.com/item?id=38110667
Bu öneri sizi endişelendiriyorsa, mevcut tarayıcınızın güvendiği sertifika otoriteleri listesine de bakmalısınız
Bu sertifika otoritelerinin hepsi, tarayıcının güveneceği sahte sertifikalar düzenleyebilir ve bunlar ortadaki adam saldırılarında kullanılabilir
Örneğin Firefox’ta yer alan sertifika otoriteleri arasında Beijing Certificate Authority, China Financial CA, Guang Dong CA gibi adlar rahatsız edici gelebilir
Tarayıcıların sertifika otoritesi sistemi özünde bozuk; bir devlet aktörü ISP işbirliğiyle IP trafiğini ele geçirebiliyor ve sertifika otoritesi işbirliğiyle sahte sertifika oluşturabiliyorsa tüm trafiği görebilir
Başlıca tarayıcılar olan Chrome, Safari ve Edge yalnızca sertifika şeffaflığı günlüklerinde yayımlanmış sertifikaları kabul eder
Bir sertifika otoritesinin ortadaki adam saldırısı için sertifika düzenlediği ortaya çıkarsa tarayıcılar güveni hızla geri çeker
Bu yüzden mevcut sertifika otoritesi sistemini ortadaki adam saldırısı için kullanmak pratikte kolay değildir
Buna karşılık eIDAS önerisi, tarayıcının ortadaki adam saldırısında kullanılan sertifika otoritesine güvenmeyi bırakmasını engelliyor ve AB onay vermediği sürece sertifika şeffaflığı gibi zorunlu denetimleri yasaklıyor
Bu da hükümetlerin ortadaki adam saldırıları için çok kullanışlı bir sistem oluşturuyor
Öncelikle o tür bir sertifikayı kullanan bir hizmete bağlanmanız gerekir
İlginç bir deney olarak, normalde kullandığınız sitelerin sertifikalarını yaklaşık bir ay boyunca kaydedip sonra şüpheli bir öğe olup olmadığına bakmak mümkün olabilir
Böyle bir deneyi mümkün kılan bir eklenti var mı bilmiyorum, ama ortaya çıkacak liste çok daha faydalı olurdu
Çin ana karasından geçen iletişim söz konusuysa tüm internet trafiğinin, sertifika otoritelerinden çok daha kolay yöntemlerle aktif biçimde izlendiğini varsaymak gerekir
Buna karşılık AB’de bu varsayım kesinlikle daha az geçerli; ayrıca Çin hükümetinin Firefox’a sertifika otoritesi güvenini yasayla zorla dayatacağını da sanmıyorum. İronik biçimde
AB zorunluluğunda ise böyle bir şart neredeyse yok gibi görünürken kök sertifikaların dahil edilmesi zorunlu kılınıyor
Bu yüzden Tarayıcı/Sertifika Otoritesi Forumu’nun yaklaşımı ile eIDAS’ın aynı olduğu söylenemez
AB’nin teknolojiden anlayan biri olarak, bu yasa tasarısını destekleyebilecek bir bakış açısı eklemek istiyorum. Bu mutlaka benim görüşüm değil; hâlâ kararımı vermiş değilim
Ülkemizdeki dijital kamu hizmetleri hayatı çok daha kolaylaştırdı
Kimlik kartı onlarca yıldır zorunluydu, ama artık içinde kimlik doğrulama, imzalama vb. için sertifika barındıran bir çip var; bu sayede evden vergi bilgilerini kontrol etmek, kamu formlarını doldurmak, trafik cezalarını görmek ve resmi belgeleri imzalamak mümkün
Anladığım kadarıyla bu, kullanıcı aracısının belirli sertifika otoritelerini kabul etmesine bağlı; sertifika otoritesi güncel değilse ya da tanınmıyorsa tarayıcının bazı kamu sitelerine erişimi engelleyecek kadar önemli
Bu yasa tasarısı, sertifika otoritesi altyapısının bir bölümünü hükümetin yönetme yetkisine devrediyor gibi görünüyor
AB ile ilgili yasalarda sıkça olduğu gibi, özel şirketlerde, genellikle de Amerikan şirketlerinde bulunan yetkiyi zorla AB hükümetlerine aktarıyor
Hükümete duyulan güven özel şirketlere duyulan güvenden yüksek ya da ona eşitse, bu o kadar da kötü gelmeyebilir
Doğru ya da yanlış olduğunu söylemeye çalışmıyorum; ama AB’deki pek çok kişinin böyle bir yasaya neden o kadar karşı çıkmayabileceğini anlamaya yardımcı olabilir
Bu hükümet sertifika otoritelerini reddedilemez hâle getiriyor ve faaliyet izleme aracı da sağlıyor
Fiilen en az güvendiğiniz AB ülkesine tarama geçmişinize ve kısmen şifresi çözülmüş trafiğe erişim vermeye benziyor
Kapsam daraltılabilirdi, ama etkilerine bakınca asıl istenen şey belki de bu olmayabilir
Gürültünün çoğu, hükümetleri sertifika otoritesi altyapısına zorla dahil etmekten ve etkisinin AB dışına da uzanmasından kaynaklanıyor gibi
İkincisi konusunda, tüm kök depolarının varsayılan olarak dünyanın dört bir yanından yüzlerce sertifika otoritesi içermesi bana hep tuhaf gelmiştir
Varsayılan olarak Google, Amazon gibi büyük şirketlere, Staat der Nerderlanden gibi devletlere ve Hongkong Post office gibi rahatsız edici kurumlara aynı şekilde güvendiğimizi varsayıyoruz
Dolayısıyla AB bu masaya bir sandalye daha koyacağını söyleyince herkesin ayağa kalkması şaşırtıcı değil
Kullanıcının kök depodaki sertifikalar üzerinde daha fazla kontrol ve sorumluluk sahibi olması daha mantıklı değil mi? Sertifika otoritelerini belirli alan adlarıyla sınırlamak daha iyi olmaz mı?
AB onaylı bir sertifika otoritesi yalnızca AB hizmetlerinin gerçekliğini garanti ediyor, alışveriş sitelerini ya da whitehouse.gov’u garanti edemiyorsa bunu kabul edebilirim
Sertifika otoritelerinin belirli güven kullanım senaryolarıyla çok daha sınırlı olması gerektiğini hep daha makul bulmuşumdur
Tüm sertifika otoritelerinin yerine geçip AB’nin ülke içinde ve dışında proxy’lenen tüm trafiğin içeriğini görebilmesini sağlamaya yönelik gibi görünüyor
Gerçek kötü aktörler üzerinde bunların hiçbirinin pek işe yarayacağını sanmıyorum
Sertifika otoritesi bir şirket ya da kâr amacı gütmeyen kuruluşsa güven, ürünün kendisidir; Let’s Encrypt işi berbat ederse müşteriler başka yere gidebilir
AB’de muhtemelen tüm üye devletlerin sertifika otoritesi sertifikalarını tüm tarayıcılara yükletmek isteyecekler; bu durumda üye devlet A’nın hükümeti, üye devlet B’nin vatandaşının bağlantısına ortadaki adam saldırısı yapabilir
Web sitesi sertifikasını mevcut sağlayıcılarından hangisinden almış olursa olsun, herhangi bir AB hükümeti şirketin haberi olmadan kullanıcılara ortadaki adam saldırısı yapabilir
Ayrıca yasa tasarısı teknik olarak aşılabiliyorsa gerçekte ne kadar fayda sağlayacağı da şüpheli. “Suçlular” da uygun tarayıcı kullanmak gibi şeylere dikkat edecektir
Bir kamu sitesi kendi sertifika otoritesini kullanmak istiyorsa bu ayrı bir meseledir; kimlik doğrulamada önemli olan kimlik kartında saklanan anahtardır
Orijinal metinden alırsak:
https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf
Madde 45(2) şöyle diyor: “1. fıkrada belirtilen web sitesi kimlik doğrulamasına yönelik nitelikli sertifikalar web tarayıcıları tarafından tanınmalıdır.”
Ayrıca web tarayıcılarının bu şekilde sağlanan kimlik verilerini kullanıcı dostu biçimde göstermesi gerektiğini; web tarama hizmeti sağlayıcısı olarak faaliyete başlamalarının ilk beş yılı içindeki mikro ve küçük işletmeler hariç olmak üzere, web sitesi kimlik doğrulamasına yönelik nitelikli sertifikaları desteklemeleri ve birlikte çalışabilirliği sağlamaları gerektiğini söylüyor.
Madde 45a(3), bir üye devlette verilen niteliklere ilişkin nitelikli elektronik tasdiklerin başka bir üye devlette de nitelikli elektronik tasdik olarak tanınması gerektiğini söylüyor.
Madde 45a(4), kamu sektörü kurumları tarafından doğrudan ya da vekâleten verilen nitelik tasdiklerinin tüm üye devletlerde söz konusu kamu sektörü kurumu tarafından verilmiş tasdikler olarak tanınması gerektiğini söylüyor.
Son üçlü müzakerelerde 45(2a) fıkrası eklendi, ancak henüz kamuya açıklanmadı; gizlilik konusundaki şikâyetler de bu yüzden ortaya çıkıyor.
Açık mektupta (https://eidas-open-letter.org) da buna işaret ediliyor.
Önerilen yasa, Madde 45(2a) ile şifreli web trafiğinde kullanılan sertifikaların doğrulanması sırasında güvenlik denetimleri getirilmesini de engelliyor.
Mevcut metinle, AB’nin web sitesi sertifikalarına ETSI standartlarında belirtilenler dışında hiçbir zorunlu gereksinim uygulanamaz hâle gelecek.
Bu korkunç. Çünkü AB kabul etmezse tarayıcıların sertifika şeffaflığı istemesi, SHA-1 gibi zayıf hash algoritmalarını yasaklaması veya kuantuma dayanıklı anahtarlar talep etmesi bile yasaklanabilir.
Böylece tarayıcı listesine yalnızca tek bir sertifika otoritesi eklemek gerekir; gerektiğinde eklenip silinebilir ya da yalnızca hükümetle etkileşime girerken eklenip işlem bitince tarayıcıdan kaldırılabilir.
Teknik olmayan kullanıcılar için de bunu otomatik yapan bir program geliştirilebilir gibi görünüyor. “Devlet erişimi gerekli” ve “Artık devlet erişimi istemiyorum” şeklinde iki düğme yeterli olur.
Temelde eIDAS’ın tüm sorunu tek bir noktaya indirgeniyor: Güven zorla dayatılamaz.
Zorla dayatılıyorsa bu güven değildir; başka bir şeydir.
Tarayıcıları belirli bir sertifika otoritesine “güvenmeye” zorunlu kılmak, internetin tüm güven modelini kırmak demektir.
Merak ettiğim şey şu: Bunu gerçekten anlamıyorlar mı, anlıyorlar ama umursamıyorlar mı, yoksa o güveni yok etmeye aktif olarak ilgi mi duyuyorlar?
Hindistan da işletim sistemleri ve tarayıcıların kendi sertifika otoritesini içermesini sağlayacak bir yasa tasarısı hazırlıyor ve kendi web tarayıcısı yarışmasını da başlattı: https://iwbdc.in/
Hindistan sertifika otoritesi geçmişte yetkisiz sertifika düzenleme nedeniyle kaldırılmıştı: https://pkic.org/2014/07/24/in-the-wake-of-unauthorized-certificate-issuance-by-the-indian-ca-nic-can-government-cas-still-be-considered-trusted-third-parties/
Bu sayede Hint sayı gösterim sistemini öğrendim ve “yerelleştirme zordur” duvarına bir tuğla daha eklenmiş oldu.
https://en.m.wikipedia.org/wiki/Indian_numbering_system
Bu tam olarak ne anlama geliyor? Bu ciddi bir devlet destekli yarışma mı?
Bu sertifika otoritelerinin verdiği sertifikalar AB’den bağımsız sertifika şeffaflığı hizmetlerine bağlanır ve belirli ülke üst seviye alan adlarıyla sınırlandırılırsa, bu tamamen sorun olmaz.
Rusya’daki birçok web sitesi, hatta en büyük banka bile normal tarayıcıların kullandığı sertifika otoritesi altyapısına erişimini fiilen kaybettikten sonra, mevcut durumun yeterince sağlam olduğunu dürüstçe söyleyebilecek kimse olduğunu sanmıyorum.
Bu yüzden AB, potansiyel altyapı risklerine karşı hedge ediyor gibi görünüyor.
Ortadaki adam saldırısı riskini azaltmak için sertifika şeffaflığı ve sertifika otoritelerini belirli üst seviye alan adlarıyla sınırlandırmak — örneğin varsayımsal bir RU sertifika otoritesinin .eu veya .com sertifikası düzenlemesini engellemek — bence yeterli olur.
Bu hamlenin amacı, sahte gerekçelerle insanları o sertifika otoritesinin sertifikasını yüklemeye zorlamak ve gerektiğinde devletin HTTPS’i kırıp görmesini sağlamaktı.
Hedef fazlasıyla açıktı ve altyapı sağlamlığı ile hiçbir ilgisi yoktu.
Onlar yalnızca insanların internet gizliliğini elinden almak istiyor.