Google Blocks Bogus Digital Certificates для нескольких веб-доменов

google

Египетская фирма по ошибке выпускает поддельные сертификаты для нескольких доменов Google Web, которые позволили бы киберпреступникам использовать домены, чтобы украсть данные или распространить вредоносное программное обеспечение.Египетская компания по работе с сетями и обеспечению безопасности в Каире случайно выпустила несанкционированные цифровые сертификаты для нескольких доменов Google Web в начале месяца, временно поместив домены из-за опасности того, чтобы быть имитировавшимся.Google обнаружил несанкционированные сертификаты 20 марта и с тех пор блокировал поддельные сертификаты для устранения риска, сказал инженер по безопасности Google Адам Лэнгли в сообщении в блоге в понедельник.

Сертификаты больше не представляют угрозу для пользователей Chrome, сказал Лэнгли. «У нас нет указания относительно злоупотребления, и мы не предлагаем, чтобы люди изменили пароли или приняли другие меры», записал он.Microsoft и Mozilla также предприняли шаги для нейтрализации риска сертификатов, ставящих под угрозу безопасность людей, использующих Internet Explorer и браузеры Firefox для посещения доменов Google, охваченных недопустимыми цифровыми сертификатами.Браузеры полагаются на цифровые сертификаты, чтобы зашифровать коммуникации и аутентифицировать идентификационные данные клиент-серверов в сети. Кто-то с поддельным или несанкционированным цифровым сертификатом может использовать его для спуфинга законного домена и коммуникаций прерывания к и от того домена.

Проблемы, включающие цифровые сертификаты, не являются всем этим редким. Google даже запустился, проект вызвал проект Прозрачности Сертификата с целью разрешения некоторых основных слабых мест безопасности в системе сертификата безопасности.В этом определенном экземпляре несанкционированные цифровые сертификаты следовали из того, что, кажется, было плохим обращением промежуточного цифрового сертификата каирской MCS Holdings, сказал Лэнгли.

Китайский Информационный центр сети Интернет (CNNIC), некоммерческая организация и корневой центр сертификации выпустили промежуточный сертификат MCS, который является одним из его клиентов.«[CNNIC] заключил договор с MCS Holdings на основании, что MCS был бы только свидетельства о выпуске для доменов, которые они зарегистрировали», сказал Лэнгли.

Но вместо того, чтобы хранить промежуточный сертификат в подходящем модуле аппаратной защиты, загрузился MCS, это на человеке в среднем прокси-сервере типа обычно раньше прерывало и контролировало трафик сотрудника, сказал он.Та ошибка привела к прокси-серверу, в конечном счете выпустив цифровые сертификаты для доменов, которыми MCS Holdings не владела или управляла, сказал Mozilla в его блоге.«Атакующий вооружился мошенническим сертификатом SSL, и способность управлять сетью их жертвы могла явиться олицетворением веб-сайтов в пути, который будет необнаруживаемым большинству пользователей», сказал Mozilla. «Такие сертификаты могли обмануть пользователей в доверчивые веб-сайты, кажущиеся произойти от доменных владельцев, но фактически содержащий злонамеренное содержание или программное обеспечение».Лэнгли описал обработку MCS промежуточного сертификата как серьезное нарушение системы центра сертификации.

Ситуация подобна инциденту в 2013, когда французский центр сертификации, ANSSI по ошибке выпустил цифровые сертификаты для многократных доменов Google таким же образом, что MCS сделал, отметил он.В том инциденте также, были случайно выпущены сертификаты, когда ANSSI использовал промежуточный сертификат на небезопасном коммерческом сервере, подключенном к частной сети, сказал Лэнгли.

В ответ на последнее нарушение защиты Google сразу блокировал промежуточный сертификат MCS в Chrome и предупредил CNNIC и другие главные браузеры проблемы.Предупреждение Microsoft отметило, что компания знает о неправильно выпущенных цифровых сертификатах от MCS Holdings, которую это сказало, мог использоваться для спуфинга содержания и выполняющий фишинговые атаки или атаки «человек посередине». Microsoft отменила промежуточный сертификат MCS для защиты интернет-пользователей от таких угроз, отмеченная компания.

Mozilla между тем рекомендовал, чтобы пользователи Firefox удостоверились, что они установили последнюю версию операционной системы.


8 комментариев

  1. Украина НИКОГДА не вступит в ЕС. Вам об этом открыто и неоднократно говорили высшие европейские чиновники.

  2. В Расии хоть средняя зарплата 1000 баксов, а у нас 300-350 баксов. Хотя мясо я нем.

  3. В Рашке вспомнили что Шеремет росиянин…..

  4. Кто на ком стоял? Потрудитесь излагать ваши мысли яснее. (с)

  5. Следственную группу ФСБ по этому инциденту нах послали и правильно сделали.

  6. Чисто теоретически…

  7. Отключим и побачим:) Украинцы вытерпят веерные, лишь бы русским комильфо не было бы.

  8. Твой батя алкаш

Комментарии закрыты.