Comodo оттегля сертификати без причина

Можете ли да си представите, че голяма компания би могла да измами своите клиенти, особено ако тази компания се представя като гарант за безопасност? Аз не можех да си го представя до скоро. Тази статия е предупреждение да помислите десет пъти, преди да закупите сертификат за подписване на код от Comodo.

В своята работа (системно администриране) създавам различни полезни програми, които активно използвам в работата си, а освен това ги публикувам безплатно за всички желаещи. Около три години назад се наложи необходимостта да подписвам програмите, иначе не всички мои клиенти и потребители можеха да ги изтеглят безпроблемно само защото не са подписани. Подписването отдавна е нормална практика и няма значение колко безопасна е програмата, но ако тя не е подписана, определено ще привлича по-високо внимание:

1. Браузърът събира статистика за това колко често се изтегля файл, и когато той не е подписан, в началния етап може дори да бъде блокиран "за всякакъв случай" и да изисква от потребителя явно потвърждение за запазване. Алгоритмите са различни, понякога и доменът се счита за доверен, но в общия случай именно валидният подпис е потвърждение за безопасност.
2. След изтеглянето файлът се проверява от антивируса и непосредствено преди стартиране - от операционната система. Подписът също е немаловажен за антивирусите, което лесно може да се провери на virustotal, а що се отнася до ОС, от Windows 10 нататък, файл с отзован сертификат веднага се блокира и не може да бъде стартиран от файловия мениджър. Освен това, в някои организации стартирането на неподписан код е изобщо забранено (настройва се със системните средства), и това е оправдано – всички нормални разработчици отдавна са се погрижили техните програми да могат да бъдат проверени без допълнителни усилия.

Като цяло, посоката е правилна — по възможност да направим интернет колкото се може по-безопасен за неопитни потребители. Въпреки това, самата реализация все още е далеч от идеала. Обикновеният разработчик не може просто да получи сертификат, трябва да го купи от компании, които монополизират този пазар и диктуват условията. Но какво, ако програмите са безплатни? Това никого не интересува. Тогава разработчикът има избор — постоянно да доказва безопасността на своите програми, жертвайки удобството на потребителите, или да купи сертификат. Преди три години изгоден беше StartCom, който в момента обитава дъното на океана, с тях никога нямаше проблеми. В момента минималната цена предлага Comodo, но, както се оказа, има уловка — за тях разработчикът е буквално никой и да го измамят — нормална практика.

След почти година употреба на сертификата, който купих в средата на 2018 г., внезапно, без предварително уведомление по имейл или телефон, Comodo го отмени без обяснение на причините. Техническата им поддръжка работи слабо — могат да не отговарят цяла седмица, но основната причина все пак успях да разбера — те считат, че с издадения сертификат е подписано злонамерено софтуер. И на това историята можеше да свърши, ако не беше едно но — никога не съм създавал злонамерен софтуер, а собствените ми методи за защита позволяват да твърдя, че не е възможно да ми откраднат ключа. Копие на ключа има само в Comodo, тъй като те ги издават без CSR. А по-нататък — почти две седмици безуспешни опити да узная елементарно доказателство. Компания, която уж гарантира защита в сферата на сигурността, на дело отказа да предостави доказателство за нарушаване на техните правила.

От последния чат с техническата поддръжкаYou 01:20
Вие написахте «Стремим се да отговорим на стандартни искания в рамките на същия работен ден», но чакам отговор седмица.

Vinson 01:20
Здравейте, добре дошли в секцията за валидация на SSL на Sectigo!
Нека проверя статуса на вашия случай, моля, изчакайте малко.
Проверих и поръчката е отменена поради злонамерен софтуер/измама/фишинг от наш връхшестовар.

You 01:28
Сигурен съм, че това е ваша грешка, така че питам за доказателство.
Никога не съм имал злонамерен софтуер/измама/фишинг.

Vinson 01:30
Извинявайте, Александър. Проверих повторно и поръчката е отменена поради злонамерен софтуер/измама/фишинг от наш връхшестовар.

You 01:31
В кой файл видяхте вируса? Има ли линк към virustotal? Не приемам вашия отговор, защото в него няма доказателства. Платих пари за този сертификат и имам правото да знам защо парите ми се взимат принудително.
Ако не можете да предоставите доказателства, то сертификатът е отменен неправомерно и парите трябва да бъдат върнати. В противен случай, какъв е смисълът на вашата работа, ако отменяте сертификати без доказателства?

Винсън 01:34
Разбирам вашето безпокойство. Сертификатът за кодово подписване е докладван за разпространение на зловреден софтуер. Според индустриалните указания: Sectigo като сертификатна институция е задължена да отмени сертификата.
Също така, съгласно политиката за възстановяване на средства, няма да можем да върнем сумата след 30 дни от датата на издаване.

Вие 01:35
Защо смятате, че това не е грешка или фалшиво положително?

Винсън 01:36
Съжалявам, Александър. Според доклада на нашите висши служители, поръчката е отменена поради зловреден софтуер/измама/фишинг.

Вие 01:37
Няма нужда да се извинявате, платих парите и искам да видя доказателство, че съм нарушил вашите правила. Просто е.
Платих за три години, след което вие измислихте причина и ме оставихте без сертификат и без доказателства за моята вина.

Винсън 01:43
Разбирам вашето безпокойство. Сертификатът за кодово подписване е докладван за разпространение на зловреден софтуер. Според индустриалните указания: Sectigo като сертификатна институция е задължена да отмени сертификата.

Вие 01:45
Изглежда, че не разбирате. Къде видяхте съд, който произнася присъда без доказателства? Вие направихте точно това. Никога не съм имал зловреден софтуер. Защо не предоставяте доказателства, ако има такова? Какво конкретно е доказателството за отмяна на сертификат?

Винсън 01:46
Съжалявам, Александър. Според доклада на нашите висши служители, поръчката е отменена поради зловреден софтуер/измама/фишинг.

Вие 01:47
Кого мога да попитам за истинската причина за отмяната на сертификата?
Ако не можете да отговорите, кажете ми на кого да се свържа?

Винсън 01:48
Моля, подайте отново тикет, използвайки предоставения линк, за да получите отговор възможно най-скоро.
sectigo.com/support-ticket

Вие 01:48
Благодаря.
Такъв резултат не е единичен, през цялото време на преговорите в чата в най-добрия случай отговарят на същите неща, на тикетите или не отговарят изобщо, или отговорите са също толкова безполезни.

Сега отново създавам тикетМоят запит:
Изисквам доказателство, че съм нарушил правило, което доведе до отмяна. Купих сертификат и искам да знам защо парите ми бяха взети.
«зловреден софтуер/измама/фишинг» не е отговор! В кой файл видяхте вируса? Има ли връзка към virustotal? Моля, предоставете доказателства или върнете парите, уморен съм да пиша на техническата поддръжка и чакам повече от седмица.
Благодаря.

Их ответ:
Сертификатът за кодово подписване е докладван за разпространение на зловреден софтуер. Според индустриалните указания: Sectigo като сертификатна институция е задължена да отмени сертификата.
Надеждата ми, че няма да отговори маймуна, напълно изчезва. Интересна схема се очертава:

1. Продаваме сертификат.
2. Чакаме повече от половин година, за да не може да се отвори спор през PayPal.
3. Отменяме и чакаме следващата поръчка. Печалба!

Тъй като нямам други методи на въздействие, мога само да предам тяхната измама на обществото. Купувайки сертификат от Comodo, те също са Sectigo, можете да се сблъскате с подобна ситуация.

Актуализация от 9 юни:
Днес уведомих CodeSignCert (компанията, през която купих сертификата), че тъй като те престанаха да отговарят, изнесох ситуацията на публично обсъждане, с линк към тази статия. След известно време те най-накрая ми изпратиха скрийншот от virustotal, където беше виден хешът на програмата EzvitUpd:
VirusTotal — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Моята оценка на ситуацията:
С увереност мога да кажа, че това е фалшиво сработване. Признаци:

1. Обозначението Generic в повечето случаи.
2. Липса на сработване при водещите антивируси.

Трудно е да се определи какво точно е предизвикало такава реакция от антивирусите, но тъй като файлът е остарял (създаден е преди почти година), нямам оригиналната версия 1.6.1, за да създам файла бинарно отново. Въпреки това имам последната версия 1.6.5, и като се има предвид, че основната версия е неизменна, промените там са минимални, но не доведоха до такова фалшиво сработване:
VirusTotal — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert е уведомен за фалшивото сработване; след появата на допълнителни резултати от преговорите, статията ще бъде обновена до пълно решение на ситуацията.

Източник: habr.com