搜索

[4933] 2018-03-18_23000名用户SSL证书失效，两公司因赛门铁克起纠纷

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-16
2018-03-18_23000名用户SSL证书失效，两公司因赛门铁克起纠纷 2 3 0 0 0 名 用 户 S S L   证 书 失 效 ， 两 公 司 因 赛 门 铁 克 起 纠 纷 原 创   E 安 全   E 安 全   2 0 1 8 - 0 3 - 1 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 3 月 1 8 日 文   截 止 到 2 0 1 8 年 3 月 1 日 上 午 ， 超 过 2 3 0 0 名 用 户 将 因 英 国   T r u s t i c o   与 美 国   D i g i C e r t   两 家 公 司 间 的 纠 纷 而 遭 遇   S S L 证 书 撤 销 。 此 次 事 件 可 能 在 未 来 几 个 月 当 中 对 整 个 C A （ 证 书 颁 发 机 构 ） 行 业 产 生 巨 大 影 响 。 这 一 “ 传 奇 性 ” 的 事 件 源 自 日 前 广 泛 发 布 的 一 封 电 子 邮 件 ， 互 联 网 上 规 模 最 大 的 证 书 颁 发 机 构   D i g i C e r t   公 司 向 超 过   2 3 0 0 0   名 通 过 英 国 经 销 商   T r u s t i c o   获 取   S S L   证 书 的 客 户 发 送 了 这 份 通 告 。 T r u s t i c o 欲 退 回 证 书 与 欲 退 回 证 书 与 C o m o d o 合 作 合 作 D i g i C e r t   公 司 指 出 ， 由 于 T r u s t i c o   公 司 发 生 安 全 事 故 ， 他 们 不 得 不 撤 销 全 部 已 被 颁 发 给   T r u s t i c o   公 司 的 证 书 — — 其 中 也 包 括 已 经 被 后 者 出 售 给 客 户 的 证 书 。 T r u s t i c o   公 司 总 经 理   Z a n e   L u c a s   则 否 认 该 公 司 曾 遭 遇 任 何 安 全 事 故 。 此 次 事 件 已 经 呈 现 出 极 为 复 杂 的 面 貌 ， 因 此 我 们 只 能 根 据 本 文 截 稿 时 两 家 公 司 的 陈 述 整 理 出 以 下 时 间 表 。 第 一 回 合 第 一 回 合 2 0 1 8 年 2 月 2 日 ， T r u s t i c o   公 司 向   D i g i C e r t   发 出 一 封 邮 件 ， 要 求 后 者 撤 销 由 其 管 理 的 总 计 约 5 万 份 证 书 。 T r u s t i c o   公 司 放 弃 合 同 ， 开 始 转 售 赛 门 铁 克 证 书 （ 目 前 同 样 归 属 于   D i g i C e r t ） 并 开 始 与   C o m o d o   方 面 开 展 合 作 。 D i g i C e r t   公 司 拒 绝 了 这 一 批 量 撤 销 5 万 份 证 书 的 请 求 并 表 示 ， 目 前 的 行 业 规 则 尚 未 明 确 规 定 “ 证 书 经 销 商 ” 能 否 撤 销 其 出 售 给 客 户 的   S S L   证 书 ， 或 者 是 否 只 有 最 终 用 户 才 能 单 独 申 请 证 书 撤 销 。 第 二 回 合 第 二 回 合
T r u s t i c o   公 司 表 示 ， D i g i C e r t   方 面 决 定 于 2 0 1 8 年 2 月 2 5 日 中 止 双 方 的 合 同 ， 此 后   T r u s t i c o   公 司 又 表 示 其 希 望 就 此 事 “ 征 询 法 律 意 见 ” 。 2 0 1 8 年 3 月 1 日 ， D i g i C e r t   公 司 通 过   T w i t t e r   接 受 采 访 时 ， 一 位 员 工 确 认 称 两 家 企 业 之 间 的 合 同 义 务 将 在 3 0 天 之 内 中 止 。 在 证 书 处 理 方 面 ， D i g i C e r t   方 面 向   T r u s t i c o   公 司 发 布 通 知 ， 表 示 若 后 者 能 够 提 供 证 明 客 户 私 钥 遭 到 破 坏 的 相 关 证 据 ， 则 可 批 量 吊 销 相 关 证 书 。 时 间 线 时 间 线 2 0 1 8 年 年 2 月 月 2 7 日 日 — — D i g i C e r t   公 司 收 到 来 自   T r u s t i c o   公 司 的 电 子 邮 件 ， 其 中 包 含 超 过 其 中 包 含 超 过 2 3 0 0 0 条 客 户 条 客 户   S S L   证 书 的 私 钥 证 书 的 私 钥 。   根 据   C A 行 业 规 则 ， 颁 发 机 构 可 以 在 安 全 事 件 发 生 后 的 2 4 小 时 内 撤 销 受 损 证 书 ， 于 是   D i g i C e r t   开 始 着 手 对 邮 件 中 包 含 的 2 3 0 0 0 份 受 损 证 书 进 行 批 量 撤 销 。 2 0 1 8 年 年 3 月 月 1 日 日 — — D i g i C e r t   公 司 向 超 过 2 3 0 0 0 家   T r u s t i c o   客 户 发 出 邮 件 通 知 ， 表 示 其 证 书 将 被 撤 销 。 目 前 尚 不 清 楚   D i g i C e r t   方 面 的 此 次 邮 件 通 报 行 为 是 否 得 到 授 权 。 安 全 专 家 们 对 此 议 论 纷 纷 安 全 专 家 们 对 此 议 论 纷 纷 一 部 分 安 全 专 家 公 开 指 责   T r u s t i c o   公 司 涉 嫌 对 客 户 的   S S L   证 书 私 钥 进 行 非 法 记 录 。 从 原 则 角 度 来 讲 ， 证 书 颁 发 机 构 与 负 责 销 售 S S L 证 书 的 厂 商 不 应 持 有 这 些 私 钥 的 副 本 。 甚 至   D i g i C e r t   公 司   C O O   F l a v i o   M a r t i n s   也 地 此 表 示 惊 讶 ， 因 为 T r u s t i c o 方 面 确 实 向 其 发 送 了 一 封 包 含 超 过 2 3 0 0 0 份 客 户 私 钥 的 电 子 邮 件 。
专 业 人 士 们 普 遍 认 为 （ 但 目 前 尚 未 得 到 最 终 证 实 ） ， 是 T r u s t i c o 方 面 在 以 自 动 化 方 式 执 行 C S R （ 即 证 书 签 名 请 求 ） 流 程 以 生 成 S S L 证 书 ， 但 在 这 一 颁 发 过 程 当 中 保 留 了 客 户 的 私 钥 副 本 。   D i g i C e r t   方 面 向   M o z i l l a   公 司 通 报 了 此 次 2 3 0 0 0 份 私 钥 遭 到 泄 露 的 事 实 ， 并 承 诺 将 后 续 公 布 相 应 私 钥 ， 从 而 提 醒 各 浏 览 器 开 发 商 将 其 添 加 至 黑 名 单 当 中 。 T r u s t i c o   公 司 则 对   D i g i C e r t   的 报 告 作 出 回 应 ， 表 示 并 不 存 在 任 何 安 全 事 故 ， T r u s t i c o   公 司 总 经 理   Z a n e   L u c a s   表 示 从 未 存 在 私 钥 泄 露 状 况 。 T r u s t i c o   公 司 并 没 有 解 释 这 2 3 0 0 0 份 私 钥 的 来 源 。 该 公 司 亦 没 有 回 应 我 们 发 出 的 评 论 请 求 。 第 三 回 合 ： 第 三 回 合 ： T r u s t i c o   不 想 要 赛 门 铁 克 的 证 书 不 想 要 赛 门 铁 克 的 证 书 T r u s t i c o   公 司 指 出 ， 其 之 所 以 希 望 撤 销 5 0 0 0 0 份   D i g i C e r t   证 书 ， 原 因 在 于 赛 门 铁 克 。 D i g i C e r t   公 司 收 购 了 赛 门 铁 克 的   S S L   证 书 颁 发 业 务 。 这 5 0 0 0 0 份 证 书 由 赛 门 铁 克 的 旧 有 网 络 颁 发 ， 而 并 非 由   D i g i C e r t   直 接 授 予 。 谷 歌 公 司 曾 于 2 0 1 7 年 宣 布 其 曾 因 使 用 赛 门 铁 克 证 书 而 多 次 遭 遇 安 全 事 故 。 如 今 ， T r u s t i c o   方 面 表 示 其 对 于 赛 门 铁 克 以 及 作 为 其 持 有 方 的   D i g i C e r t   正 确 管 理 基 础 设 施 的 能 力 已 经 失 去 信 心 。 T r u s t i c o   公 司 总 经 理   Z a n e   L u c a s   强 调 称 ， “ 我 们 认 为 赛 门 铁 克 证 书 会 对 我 们 的 帐 户 产 生 损 害 ， 通 过 赛 门 铁 克 帐 户 下 达 的 订 单 可 能 面 临 风 险 以 及 管 理 不 善 问 题 。 我 们 一 直 在 向 赛 门 铁 克 方 面 提 出 质 询 ， 但 后 者 在 一 年 周 期 内 始 终 示 作 出 回 应 。 赛 门 铁 克 公 司 根 本 无 视 我 们 的 担 忧 ， 这 将 直 接 给 未 来 的 安 全 事 故 埋 下 祸 根 。 ” L u c a s   补 充 称 ， “ 出 于 良 知 ， 我 们 认 为 在 赛 门 铁 克 系 统 上 安 装   S S L   证 书 的 作 法 并 不 可 取 ， 也 不 符 合 我 们 严 格 的 安 全 要 求 。 然 而 ， 在 D i g i C e r t   公 司 接 手 之 后 ， 同 一 管 理 团 队 将 继 续 全 面 接 掌 我 们 的 帐 户 ， 这 引 起 了 我 们 的 高 度 关 注 。 虽 然 该 团 队 在 易 手 之 后 迎 来 了 新 的 名 称 ， 但 我 们 仍 然 是 赛 门 铁 克 糟 糕   S S L   证 书 的 受 害 者 ， 但 对 方 甚 至 发 出 秘 密 通 知 要 求 我 们 对 此 保 持 沉 默 。 ” L u c a s 表 示 ， T r u s t i c o   公 司 的 证 书 撤 销 工 作 完 成 后 ， 网 站 拥 有 者 将 获 得 替 代 证 书 ， 因 此 不 会 因 赛 门 铁 克 / D i g i C e r t   证 书 的 撤 销 而 遭 遇 问 题 ， 2 3 0 0 0 多 名 用 户 / 企 业 全 体 在 网 站 及 应 用 中 迎 来   H T T P S   安 全 错 误 。
与 此 同 时 ， 尽 管   T r u s t i c o   公 司 作 出 直 接 要 求 ， 但   D i g i C e r t   并 没 有 对 前 者 要 求 范 围 内 的 另 外 2 7 0 0 0 份 用 户 证 书 进 行 撤 销 ， 理 由 是 其 没 能 提 供 违 规 证 据 。 M o z i l l a   公 司 也 对   D i g i C e r t   的 这 一 判 断 表 示 支 持 。 S S L   经 销 商 不 应 记 录 客 户 经 销 商 不 应 记 录 客 户 S S L 私 钥 私 钥 整 个 事 件 很 可 能 以 其 中 一 家 公 司 遭 受 制 裁 而 结 束 。 无 论 结 果 如 何 ， 证 书 颁 发 行 业 将 很 快 以 投 票 方 式 发 布 新 规 则 ， 从 而 澄 清 证 书 转 售 商 的 权 利 范 围 及 其 对 最 终 客 户 证 书 所 具 有 的 处 置 权 水 平 。 此 外 ， 根 据 多 位 安 全 研 究 人 员 们 的 意 见 ， 行 业 可 能 需 要 全 面 调 查 各   S S L   经 销 商 是 否 存 在 记 录 客 户 S S L 私 钥 的 行 为 。 因 此 事 件 的 结 果 已 经 不 再 重 要 ， 真 正 重 要 的 是 这 一 切 都 交 被 诉 讼 法 律 ， 相 关 问 题 将 长 期 僵 持 下 去 ， 并 最 终 由 法 庭 给 出 判 断 与 结 论 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 6 6 8 8 6 0 0 8 . s h t m l 推 荐 阅 读 ： X . 5 0 9 证 书 被 滥 用 ， 可 致 数 据 渗 漏 ( 含 P o C ) 微 软 不 慎 暴 露 D y n a m i c s   3 6 5 沙 盒 T L S 证 书 超 过 1 0 0 天 K a l i   L i n u x 认 证 资 质 出 炉 ， 首 本 K a l i 书 籍 亦 即 将 出 版 E 安 全 成 为 中 国 信 息 安 全 测 评 中 心 信 息 安 全 服 务 资 质 证 书 查 询 渠 道 与 比 特 币 相 关 的 几 点 安 全 问 题 战 争 一 旦 爆 发 ， 俄 罗 斯 可 能 会 切 断 全 球 互 联 网 披 露 1 3 个 漏 洞 ！ 安 全 公 司 不 守 行 规 让 A M D 很 受 伤 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理