Фальсифицировать сертификаты UserTrust.com в Chrome?
Я пытался установить сертификат SSL, когда я вырыл в настройки Chrome и посмотрел на установленные (вкладка серверов).
Они отмечены как Не Безопасный, и они связаны с mail.google.com, login.skype.com, login.live.com, addons.mozilla.org и еще много, в папке, названной "Google Ldt"..
Например,
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
который приводит к,
Common Name: mail.google.com
Subject Alternative Names: mail.google.com, www.mail.google.com
Organization: Google Ltd.
Organization Unit: Tech Dept.
Locality: English
State: Florida
Country: US
Valid From: March 14, 2011
Valid To: March 14, 2014
Issuer: UTN-USERFirst-Hardware, The USERTRUST Network Write review of Comodo
Key Size: 2048 bit
Serial Number: 047ecbe9fca55f7bd09eae36e10cae1e
Действительно ли они безопасны?
1 ответ
Они не безопасны, и именно поэтому они отмечены как Недоверяемые. Они были поддельными сертификатами. См. эту статью о EFF:
15-го марта Центр сертификации (CA) HTTPS/TLS был обманут в издание мошеннических сертификатов, которые представляли страшную угрозу для Защиты в сети Интернет. На основе в настоящее время доступной информации инцидент был рядом с — но был не совсем — крах безопасности всего Интернета. Как это сообщение объяснит, эти события шоу, почему мы срочно должны начать укреплять систему, которая в настоящее время используется, чтобы аутентифицировать и определить безопасные веб-сайты и почтовые системы.
Существует сообщение на блоге Проекта Скалистой вершины Jacob Appelbaum, анализируя аннулирование многих сертификатов HTTPS на прошлой неделе. Патчи к главным веб-браузерам поместили в черный список много сертификатов TLS, которые были выпущены после того, как хакеры ворвались в Центр сертификации. Appelbaum и другие смогли перекрестно сослаться на порядковые номера помещенных в черный список сертификатов против всестороннего набора Списков аннулированных сертификатов (эти URL CRL были получены путем запросов баз данных SSL Observatory EFF) учиться, который был затронут CA.
Ответ был сертификатом UserTrust "UTN-USERFirst-Hardware", принадлежавшим Comodo, одной из самой большой АВАРИИ в сети. Comodo теперь опубликовал оператор о неправильно выпущенных сертификатах, которые были для чрезвычайно доменов высокого значения включая google.com, login.yahoo.com и addons.mozilla.org (этот последний домен мог привыкнуть к троянцу любая система, которая устанавливала новое расширение Firefox, хотя обновления ранее установленных расширений имеют второй слой защиты от подписей XPI). Один сертификат был для "глобальной доверенной стороны" — не доменное имя. Это было, вероятно, злонамеренным сертификатом CA, который мог использоваться для безупречного исполнения роли любого домена в сети.