Google исключила 30 тысяч HTTPS-сертификатов Symantec

Google исключила 30 тысяч HTTPS-сертификатов Symantec

Компания Google намерена применить в Chrome блокировку для достаточно большой порции HTTPS-сертификатов, выданных удостоверяющим центром Symantec. Причиной блокировки стали выявленные злоупотребления при выдаче сертификатов уровня EV (Extended Validation).

В итоге, под сомнение поставлена валидность более 30 тысяч EV-сертификатов Symantec, выданных за последние несколько лет. EV-сертификаты подтверждают заявленные параметры идентификации и по правилам для их получения требуется проведение проверки документов о принадлежности домена и физическое присутствие владельца ресурса. В случае Symantec подобная проверка не проводилась должным образом, т.е. нет гарантии, что полномочия владельца всегда проверялись. Google обращает внимание на то, что Symantec предоставил доступ к инфраструктуре удостоверяющего центра как минимум четырём сторонним организациям, которым предоставлены полномочия по выдаче сертификатов. При этом компания Symantec не обеспечила должный уровень надзора за ними и допустила несоблюдение ими установленных стандартов обслуживания, пишет opennet.ru.

В ответ на запросы, компания Symantec также не могла предоставить в установленные сроки отчёты с разбором имевшихся инцидентов. В частности, исследователями безопасности было выявлено, что в январе удостоверяющим центром Symantec были сгенерированы 108 неправильно выданных сертификатов. Ранее, компания Symantec уже была вовлечена в скандал, связанный с выдачей сертификатов посторонним на чужие домены, в частности осенью 2015 года было уволено несколько сотрудников, которые были уличены в выдаче тестовых сертификатов на домены (в том числе на домены google.com, gmail.com и gstatic.com), без получения согласия владельцев доменов.

В пик своей активности, после покупки бизнеса аутентификации у VeriSign, доля выданных Symantec сертификатов превышала 30%, а по данным телеметрии Firefox в около 42% всех проверок фигурируют сертификаты Symantec. Оценив соразмерность имеющихся рисков и негативный эффект от удара по владельцам сайтов, использующих сертификаты Symantec, в Chrome намерены провести поэтапную блокировку. В первую очередь планируется отозвать EV-статус для всех сертификатов Symantec, т.е. данные сертификаты продолжат работу, но как сертификаты DV (Domain validation, верификация по домену), без отображения индикатора расширенной аутентификации и имени владельца. В дальнейшем постепенно все проблемные сертификаты будут заблокированы путём сокращения максимального срока их действия.

Symantec будет дано время на перепроверку и замену сертификатов. При этом EV-сертифиткаты от Symantec не будут распознаваться до тех пор, пока сообщество не убедится, что процесс выдачи EV-сертификатов не приведен к требованиям правил, но эмбарго на EV-сертификаты будет снято не раньше чем через год. В Chrome 59 значение максимального срока действия сертификатов Symantec планируется ограничить 33 месяцами, Chrome 60 - 27 месяцами, Chrome 61 - 21,.... Chrome 64 - 9 месяцами. Кроме того, для всех новых сертификатов предлагается сразу ограничить срок действия 9 месяцами. 

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

АНБ США и Microsoft призывают использовать модель Zero Trust для защиты

Агентство национальной безопасности (АНБ) США и Microsoft выступили за использование модели Zero Trust («нулевое доверие»), поскольку, по их мнению, она позволяет корпорациям более эффективно защищаться от постоянно развивающихся киберугроз.

Про модель Zero Trust мы писали летом прошлого года, акцентируя внимание на постепенном устаревании и недостаточности привычной защиты сетевого периметра.

Принцип «нулевого доверия» обсуждается с 2010 года, а после крупнейших атак на НАТО власти США призвали государственные учреждения перейти на модель Zero Trust. Как известно, этот подход позволяет защитить организации без явного периметра.

Благодаря недавним кампаниям злоумышленников, направленным на цепочки поставок SolarWinds, разговоры о Zero Trust в среде специалистов по кибербезопасности стали ещё активнее.

Одним из сторонников «нулевого доверия» является нынешний глава Microsoft Брэд Смит. По мнению Смита, эта концепция как нельзя лучше подходит организациям и агентствам, которые хотят убедиться в защищённости своих сетей.

Приблизительно такой же позиции придерживается Агентство национальной безопасности США, рекомендующее (PDF) внедрить модель «нулевого доверия» для критически важных и государственных сетей.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru