Взлом аккаунта в удостоверяющем центре Comodo привёл к генерации 9 обманных SSL-сертификатов
24 марта 2011 года
Компания Comodo, спустя восемь дней с момента обнаружения проблемы, опубликовала заявление в котором обобщила суть инцидента, в результате которого злоумышленникам удалось получить девять валидных HTTPS-сертификатов для ряда известных web-ресурсов. Используя данные сертификаты злоумышленники могли сформировать поддельный сайт, который был бы неотличим от настоящего и содержал не вызывающий подозрение SSL-сертификат. Перенаправить пользователя на подобные сайты можно используя, например, атаки man-in-middle или отравление DNS-кэша.
По данным Comodo, 9 обманных сертификатов злоумышленникам удалось сгенерировать в результате взлома пользовательского аккаунта в одном из доверенных регистрирующих центров (RA, Registration Authority). Инфраструктура удостоверяющего центра ( CA) и первичные сертификаты, хранимые в HSM-модулях (Hardware Security Modules), не были скомпрометированы. Сертификаты были выписаны для следующих сайтов: mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org, login.live.com. Также был создан не привязанный доменам сертификат "глобального доверия" ("global trustee"). Все выписанные обманным путем сертификаты были сразу отозваны и занесены в черные списки web-браузеров Firefox, Chrome/Chromium и Internet Explorer.
В связи с инцидентом критике подверглась используемая в настоящее время методика отзыва сертификатов, базирующаяся на оценке состояния списка отозванных сертификатов ( CRL) или проверке статуса конкретных сертификатов с помощью протокола OCSP. Данные проверки выполняются путем обращения к специальному online-сервису, поддерживаемому каждым центром сертификации. Основная проблема связана с тем, что в случае невозможности осуществить проверочный запрос, браузеры не в состоянии определить отозван сертификат или нет, поэтому, в конечном счете, в случае сбоя проверки считают сертификат валидным.
В ситуации когда злоумышленник в состоянии вклиниться в трафик жертвы и подменить содержимое сайта, он с тем же успехом может блокировать проверочные CRL/OCSP запросы. Более того, такой инструмент перехвата и подмены SSL-трафика как sslstrip(недоступная ссылка) уже включает в себя поддержку подобного рода атак. Поэтому, в ситуации появления обманных SSL-сертификатов, производители браузеров вынуждены обновлять локальный черный список. В качестве одного из вариантов решения проблемы называется создание производителями браузеров собственных кэширующих OCSP-серверов, способных выполнить проверку в случае недоступности OCSP-сервера удостоверяющего центра, а также пересмотр подхода к выводу предупреждений в случае проблем с выполнением проверки.
В случае, если бы злоумышленникам удалось получить закрытый ключ для сертификата UserTrust (UTN-USERFirst-Hardware) удостоверяющего центра Comodo, под угрозой оказалась бы безопасность более чем 85 тыс. сайтов, владельцам которых пришлось бы заново получать сертификаты. При таком развитии событий производители браузеров были бы поставлены перед непростой дилеммой: поместить в черный список все сертификаты скомпрометированного центра сертификации, нарушив нормальную работу десятков тысяч сайтов, или игнорировать проблему, сделав данные сайты потенциально уязвимыми.
Подобное развитие событий не исключено в силу неумеренного разрастания сети центров сертификации. Например, в настоящее время насчитывается уже около 1500 CA-сертификатов, контролируемых примерно 650 разными организациями. При каждом HTTPS/TLS-сеансе пользователь изначально доверяет всем имеющимся центрам сертификации, компрометация одного из CA приведет к коллапсу всей системы. В качестве одного из способов защиты от такого развития событий называется разработка и внедрение методов перекрёстной сертификации.
Источники
[править]
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии[править]
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
