Symantec odpowiada Google na obniżenie wiarygodności certyfikatów SSL

W zeszłym tygodniu Google poinformowało o obniżeniu wiarygodności certyfikatów SSL wydawanych przez Symanteca i wyłączeniu dla nich EV SSL. W toku śledztwa odnaleziono 30 tys. certyfikatów, które zostały wydane z naruszeniem preferowanych przez Google standardów, a samemu Symantecowi zarzucono, że wystawia na niebezpieczeństwo użytkowników Chrome'a. Dziś producent Nortona opublikował nowe stanowisko w tej sprawie.

Maciej Olanicki

27 marca 2017, 10:33

Jest ono kierowane przede wszystkim do tych, którzy korzystają z certyfikatów Symanteca, jednak ze względu na poważne zarzuty Google, trzeba je także traktować jako list otwarty do twórców Chrome'a. Symantec ustosunkowuje się w nim do ustaleń Google, zarzucając korporacji wyolbrzymianie i wprowadzanie w błąd.

Nieprawdą ma być bowiem, że wydanych z naruszeniem standardów zostało 30 tys. certyfikatów SSl/TLS. Błędnie wydanych miało zostać tylko 127 wcześniej rozpoznanych certyfikatów, zaś wystawca nie odnotował w związku ze swoim błędem żadnych naruszeń bezpieczeństwa. Wzmocnione miały zostać także procedury weryfikacji klientów:

Stanowisko Google dotyczące naszych praktyk wydawniczych i liczby błędnie wydanych certyfikatów jest wyolbrzymione i wprowadza w błąd. Google twierdzi na przykład, że błędnie wydaliśmy 30 tys. certyfikatów SSL/TLS, co nie jest prawdą. (...) Nie uważamy, aby plany Google leżały w najlepszym interesie internautów. Pracujemy nad tym, by rozwiązać tę sytuację z Google we wspólnym interesie naszych klientów i partnerów.

Z części informacyjnej komunikatu, skierowanej do klientów, nie sposób jednak odczytać nadziei na sukces w negocjacjach z Google. Symantec informuje jedynie, że uruchomi program wydawania kolejnych certyfikatów bezpłatnie, ważnych w okresie zdegradowanych przez Google poświadczeń. Zostaną one wydane w trybie przyśpieszonym, wykorzystując proponowany przez Google skrócony czas walidacji.

Symantec uspokaja także swoich klientów, informując, że certyfikaty rozszerzonej walidacji zostaną odrzucone tylko przez Chrome'a, co jednak w świetle pozycji przeglądarki Google, trudno traktować całkowicie poważnie.

Maciej Olanicki