r   e   k   l   a   m   a
r   e   k   l   a   m   a

Tak gaśnie zaufanie: Chrome 66 to koniec certyfikatów SSL Symanteca

Strona główna AktualnościBEZPIECZEŃSTWO

Wystawione przez Symanteca certyfikaty SSL niedługo przestaną być cokolwiek warte. Wraz z planowaną na wiosnę 2018 roku premierą Chrome 66, najpopularniejsza przeglądarka na świecie po prostu przestanie im ufać. W ten oto sposób jeden z największych urzędów certyfikacji (CA), jeszcze w kwietniu zeszłego roku mający 26% tego rynku, został skreślony przez Google – i trudno w tym wypadku decyzję tę kwestionować.

Google nie działa w tym wypadku pochopnie. Prowadzone od początku tego roku śledztwo deweloperów Chrome wykazało, że Symantec, prowadząc działalność pod takimi markami jak Thawte, VeriSign, Equifax, GeoTrust i RapidSSL, wystawił ponad 30 tys. certyfikatów z naruszeniem standardów regulujących wiarygodność wystawców, wytyczonych przez branżę w ramach CA/Browser Forum.

W wielu wypadkach chodziło o wystawienie certyfikatów na domenę bez zgody jej właściciela – co otwiera drogę do ataków phishingowych, podszywania się pod zaufane serwisy. Zdecydowano się więc na obniżenie przez przynajmniej rok wiarygodności wystawianych przez Symanteca certyfikatów i wyłączenie dla nich rozszerzonej walidacji (EV). Co gorsze, nie był to pierwszy incydent tego typu. W 2015 roku Symantec został przyłapany na wystawieniu kilkuset nieautoryzowanych certyfikatów, w tym dla domen Google, przeglądarki Opera i domen, które nigdy wcześniej nie były rejestrowane.

r   e   k   l   a   m   a

Konsekwencje obniżenia wiarygodności – nie wyświetlania na pasku adresu stosownego komunikatu bezpieczeństwa – nie spodobały się Symantecowi. Urząd certyfikacji zarzucił deweloperom Chrome wyolbrzymianie i błąd, twierdząc że błędnie wydano jedynie 127 wcześniej rozpoznanych certyfikatów. Swoich klientów uspokoił zaś, stwierdzając, że certyfikaty są odrzucane tylko przez Chrome. No cóż, dobrze, że nie przez lidera rynku, Internet Explorera.

Takie zagrywki nie pomogły Symantecowi. Pod koniec lipca twórcy Chrome porozumieli się ze społecznością, przyjmując plan ograniczenia, a finalnie zaniechania zaufania do całej dotychczasowej infrastruktury Symanteca. Plan miał dać dość czasu na przejście na nową, niezależnie zarządzaną infrastrukturę partnerów, podczas gdy Symantec zmodernizowałby swoją infrastrukturę, dostosowując ją do standardów branży.

Symantec ostatecznie zgodził się na propozycję, wybrał firmę DigiCert do prowadzenia tej niezależnej infrastruktury partnerów, stwierdził też, że chce sprzedać cały swój biznes związany z certyfikatami firmie DigiCert, zamiast samodzielnie budować nową, zaufaną infrastrukturę. Teraz Google przedstawiło daty, według których cały proces będzie przebiegał.

Harmonogram wygaszania zaufania

I tak, wraz z wydaniem Chrome 66 (prawdopodobnie 17 kwietnia 2018 roku), przeglądarka ta przestanie ufać wszystkim wydanym przez Symanteca certyfikatom wydanym przed 1 czerwca 2016 roku.

Do 1 grudnia 2017 roku Symantec przeniesie swoje operacje związane z certyfikatami na infrastrukturę DigiCert. Chrome nie będzie ufało certyfikatom wystawionym po tej dacie ze starej infrastruktury Symanteca.

Wraz z wydaniem Chrome 70, planowanym na 23 października 2018 roku, przeglądarka ta całkowicie przestanie ufać starej infrastrukturze Symanteca i wszelkim wystawionym przez nią certyfikatom. Dotknie to wszystkich certyfikatów, dla których Symantec był rootem, za wyjątkiem niewielkiej grupy tych niezależnych, podrzędnych urzędów certyfikacji, które przeszły audyt.

Dla właścicieli stron internetowych, którzy korzystali z certyfikatów SSL Symanteca lub podrzędnych CA wydanych przed 1 czerwca 2016 roku, nie ma więc sensu przedłużać ich z użyciem starej infrastruktury – one i tak staną się bezużyteczne za 13 miesięcy. Lepiej skorzystać z certyfikatów od urzędów, które Chrome darzy zaufaniem.

Przypominamy, że podstawowy, darmowy certyfikat SSL dla naszej domeny można uzyskać dzięki programowi Let’s Encrypt, którego sponsorami są między innymi Google, Mozilla, Facebook, Cisco, OVH, Akamai i Electronic Frontier Foundation.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.