Certyfikaty Symanteca na śmietnik. Google nie zostawia suchej nitki

Do największych kompromitacji dochodzi, gdy firmy, zajmujące się komercyjnym świadczeniem usług bezpieczeństwa, same okazują się podatne na ataki lub nie spełniają stanowionych przez siebie standardów. Wczoraj pisaliśmy o ataku Double Agent, dzięki któremu przejąć całkowitą kontrolę nad systemem można za pomocą wstrzyknięcia kodu między innymi w popularne antywirusy. W tym we wciąż niezałatanego Nortona.

Dziś Symantec znalazł się w kolejnych tarapatach. Na forum deweloperskim Chromium pojawił się wpis o problemach z wystawianymi przez Symanteca certyfikatami SSL. W wyniku prowadzonego od 19 stycznia śledztwa, twórcy najpopularniejszej przeglądarki na świecie zdecydowali, że obniżą wiarygodność wydawanych przez producenta Nortona certyfikatów. Padły nawet mocne słowa o tym, że korporacja wystawia na ryzyko użytkowników Chrome'a.

W toku śledztwa, eksperci zaangażowani w rozwój Chromium, mieli znaleźć ponad 30 tys. certyfikatów wydanych przez Symanteca z naruszeniem standardów Root Certificate Policy, czyli zasad regulujących wiarygodność wystawców. Jednym z najczęstszych zarzutów, jakie powtarzają się pod adresem Symanteca, jest wydawanie certyfikatów na domenę bez zgody jej właściciela. To zaś może posłużyć do podszywania się atakujących pod konkretne firmy czy serwisy, które cieszą się rozpoznawalnością i zaufaniem.

Konsekwencje są surowe i będą zauważalne także dla przeciętnego użytkownika. Serwisy z certyfikatem wydanym przez Symanteca nie będą wyświetlały na pasku adresu stosownego komunikatu bezpieczeństwa. Od niedawna ma to także wpływ na codzienne korzystanie z Sieci: Chrome wyświetla w przypadku takich witryn powiadomienia o potencjalnym ryzyku na stronach logowania, także w polach formularzy.

Serwis Ars Technica otrzymał już oficjalne stanowisko Symanteca w tej sprawie. Korporacja zaznacza, że o śmiałej decyzji deweloperów Chromium dowiedziała się wraz z publikacją wpisu na forum i określiła takie działania mianem nieodpowiedzialnych. Wiarygodność certyfikatów wystawionych przez Symanteca będzie obniżona co najmniej przez rok.