搜索

[25441] 2016-09-01_每日安全资讯：国内CA机构沃通错误颁发GitHub域名SSL证书

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-09-01_每日安全资讯：国内CA机构沃通错误颁发GitHub域名SSL证书 每 日 安 全 资 讯 ： 国 内 C A 机 构 沃 通 错 误 颁 发 G i t H u b 域 名 S S L 证 书 L i n u x 中 国   2 0 1 6 - 0 9 - 0 1 国 内 C A 机 构 沃 通 被 爆 在 没 有 审 核 域 名 归 属 的 情 况 下 ， 给 申 请 者 颁 发 了 一 张 G i t H u b 根 域 名 的 S S L 证 书 。 事 件 经 过 事 件 经 过 传 统 的 电 子 证 书 管 理 系 统 其 实 是 互 联 网 上 最 薄 弱 的 一 环 ， 用 户 们 盲 目 相 信 全 球 的 C A 机 构 能 够 保 护 他 们 的 机 密 和 个 人 信 息 的 完 整 性 。 但 是 ， 这 些 证 书 机 构 能 够 为 任 何 你 所 拥 有 的 域 名 颁 发 合 法 的 S S L 证 书 ， 也 不 会 管 你 有 没 有 在 其 他 的 证 书 机 构 购 买 过 。 这 是 C A 系 统 中 最 大 的 漏 洞 。 而 最 近 的 这 起 事 件 中 ， 沃 通 在 没 有 审 核 域 名 归 属 的 情 况 下 ， 就 为 某 申 请 者 颁 发 了 一 张 S S L 证 书 。 沃 通 ( W o S i g n )   是 一 家 国 内 的 证 书 签 发 机 构 ， 公 司 自 称 是 中 国 最 大 的 国 产 品 牌 数 字 证 书 颁 发 机 构 ， 中 国 市 场 占 有 率 超 过 7 0 % ， 拥 有 全 球 信 任 的 顶 级 根 证 书 。         这 起 事 件 由 英 国 的 M o z i l l a 程 序 员 G e r v a s e   M a r k h a m 发 布 在 M o z i l l a 的 安 全 政 策 邮 箱 列 表 里 ， 据 他 说 ， 这 样 的 情 况 从 2 0 1 5 年 7 月 就 开 始 了 ， 他 一 直 没 有 上 报 。 M a r k h a m 在 邮 件 列 表 里 称 ， 2 0 1 5 年 6 月 ， 有 申 请 者 发 现 沃 通 免 费 证 书 服 务 存 在 问 题 ， 只 要 申 请 者 证 明 他 们 拥 有 子 域 名 ， 沃 通 就 会 给 他 们 颁 发 根 域 的 证 书 。 这 名 申 请 者 本 来 是 想 要 申 请 一 张 ’ m e d . u c f . e d u ’ 的 证 书 ， 不 小 心 写 成 了 ， ’ w w w . u c f . e d u ‘ ， 结 果 沃 通 居 然 同 意 了 ， 颁 发 了 一 张 根 域 名 的 证 书 给 他 。 为 了 进 一 步 测 试 ， 研 究 人 员 用 同 样 的 方 法 针 对 G i t h u b 的 根 域 名 实 施 了 欺 骗 ， 众 所 周 知 ， G i t H u b 是 可 以 支 持 用 户 创 建 自 己 的 { u s e r n a m e } . g i t h u b . i o 子 域 名 的 。 因 此 ， 当 申 请 者 证 明 自 己 有 子 域 控 制 权 后 ， 沃 通 同 样 分 发 了 G i t H u b 根 域 名 的 证 书 。 研 究 人 员 向 沃 通 报 告 了 这 个 情 况 ， 并 以 G i t H u b 为 例 ， 结 果 沃 通 只 是 吊 销 了 G i t H u b 的 证 书 。 之 所 以 只 吊 销 了 一 个 证 书 ， 可 能 是 因 为 沃 通 没 有 能 力 再 去 一 个 一 个 追 踪 所 有 误 发 的 根 证 书 。 研 究 人 员 最 近 联 系 上 了 G o o g l e ， 并 且 报 告 了 u c f . e d u 证 书 一 年 之 后 还 没 有 被 吊 销 的 问 题 。 防 御 方 法 防 御 方 法 证 书 是 一 家 网 站 与 访 客 建 立 安 全 通 信 的 渠 道 ， 证 书 遭 到 泄 露 ， 会 危 及 用 户 安 全 造 成 严 重 后 果 。 攻 击 者 可 以 利 用 虚 假 证 书 进 行 中 间 人 攻 击 从 而 劫 持 用 户 。 实 际 上 为 了 防 止 这 类 事 件 的 发 生 ， 有 一 个 公 共 服 务 机 制 叫 做 证 书 透 明 ， 这 个 机 制 能 够 让 个 人 用 户 和 公 司 检 查 他 们 的 域 名 一 共 被 签 发 了 多 少 张 证 书 。 证 书 透 明 就 是 让 证 书 机 构 们 公 开 他 们 所 发 布 的 每 一 张 证 书 。 实 际 上 沃 通 也 参 加 了 这 个 机 制 。 虽 然 这 个 机 制 不 能 防 止 C A 颁 发 假 的 证 书 ， 但 是 它 能 够 使 得 伪 造 证 书 的 检 测 更 加 方 便 。 目 前 ， G o o g l e ， 赛 门 铁 克 、 D i g i C e r t 等 C A 都 在 参 与 维 护 公 共 证 书 透 明 日 志 。 你 可 以 使 用 G o o g l e 或 C o m o d o 的 证 书 透 明 查 询 工 具 查 询 你 的 域 名 下 所 有 的 证 书 。 来 源 ： F r e e B u f . C O M 更 多 资 讯 更 多 资 讯 1 .   报 告 显 示 至 少 6 8 0 0 万 D r o p b o x 用 户 存 在 数 据 泄 露 风 险
h t t p : / / t . c n / R c 7 1 M M w 2 .   法 国 潜 艇 机 密 泄 露   外 媒 认 为 中 国 是 最 大 赢 家 h t t p : / / t . c n / R c 7 1 O r J 3 .   快 递 单 买 卖 网 络 成 风   信 息 泄 露 难 防 又 难 管 h t t p : / / t . c n / R c 7 1 l X 9 4 .   美 两 州 选 举 网 站 遭 黑 客 入 侵   情 报 官 员 称 与 俄 有 关 h t t p : / / t . c n / R c 7 1 j G 2 5 .   M a c 平 台 B T 软 件 T r a n s m i s s i o n 官 网 挂 马 可 窃 取 用 户 密 码 h t t p : / / t . c n / R c 7 1 Y 4 H （ 信 息 来 源 于 网 络 ， 安 华 金 和 搜 集 整 理 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理