DigiCert отзовет 23 тысячи SSL-сертификатов, выданных Trustico

DigiCert отзовет 23 тысячи SSL-сертификатов, выданных Trustico

DigiCert отзовет 23 тысячи SSL-сертификатов, выданных Trustico

Как сообщила сегодня компания DigiCert, в течение суток более 23 тысяч SSL-сертификатов, полученных через реселлера Trustico, будут отозваны. Причиной этому послужил недавний инцидент с компрометацией сертификатов.

В начале прошлого месяца представители Trustico обратились к DigiCert с просьбой отозвать 50 тысяч SSL-сертификатов, ссылаясь на то, что все сертификаты скомпрометированы, однако детали не были раскрыты компанией.

Чуть позже, в середине февраля, Trustico объявила о разрыве контракта c DigiCert и заключения партнерства с другим центром сертификации от Comodo.

В конце того же месяца представители Trustico направили DigiCert приватные ключи, принадлежащие 23 тысячам сертификатов. Эти ключи ни в коем случае не должны были попасть в руки третьих сторон, а центры сертификации обычно удаляют их после передачи клиенту, соответственно, такой шаг Trustico вынудил DigiCert отозвать все 23 тысячи сертификатов.

Оставшиеся 27 тысяч сертификатов на данный момент действительны, так как по ним не было предоставлено доказательств компрометации (не были предоставлены закрытые ключи).

Trustico отметила, что ей не понравилось принятое DigiCert решение напрямую направить уведомления клиентам о скорой блокировке сертификатов, так как эти уведомления были отправлены без согласования и в обход посредника, коим и является Trustico.

Из-за того, то Trustico не раскрывает детали утечки, остается только гадать, как именно произошла компрометация закрытых ключей. Есть мнение, что это связано с неправильной работой центра сертификации Symantec, который не так давно перешел под крыло DigiCert.

Напомним, что вчера также стало известно об аннулировании сертификатов Palo Alto, ранее выданных ФСТЭК.

В Windows нашли способ получать Insider-сборки без аккаунта Microsoft

Пока Microsoft всё сильнее привязывает пользователей Windows к своей экосистеме, энтузиасты продолжают искать обходные пути. На этот раз обновление получил инструмент OfflineInsiderEnroll, который позволяет устанавливать предварительные сборки Windows без входа в учётную запись Microsoft.

Обычно для участия в программе Windows Insider требуется зарегистрироваться через аккаунт Microsoft и официально подключить устройство к одному из тестовых каналов. Но OfflineInsiderEnroll предлагает альтернативный сценарий.

Утилита представляет собой небольшой скрипт, который настраивает необходимые параметры локально через системный реестр. После этого компьютер получает доступ к тестовым версиям Windows через обычный механизм Windows Update, как будто устройство официально участвует в программе предварительного тестирования.

В основе схемы лежит параметр реестра TestFlags. Если установить для него значение 0x20, Windows перестаёт обращаться к онлайн-сервисам регистрации Insider Program.

Благодаря этому локальные настройки больше не перезаписываются серверами Microsoft, а выбранный канал тестирования сохраняется на устройстве.

 

Проще говоря, система начинает верить настройкам, которые ей подсовывает сам скрипт.

Ранее OfflineInsiderEnroll уже поддерживал классические каналы Dev, Beta и Release Preview. Теперь разработчики обновили утилиту до версии 2.6.6 и добавили поддержку новой структуры каналов Windows Insider, которую Microsoft недавно начала внедрять.

Помимо Beta и Release Preview пользователи получили доступ к новым экспериментальным каналам тестирования. Также в комплекте остались инструменты для очистки кеша Insider, сброса настроек и полного отключения участия в программе.

Впрочем, запускать скрипт придётся с правами администратора.

RSS: Новости на портале Anti-Malware.ru