Comodo анулира сертификати без причина

Можете ли да си представите, че голяма компания би измамила клиентите си, особено ако тази компания се позиционира като гарант за сигурност? Така че не можех доскоро. Тази статия е предупреждение да помислите два пъти, преди да закупите сертификат за подписване на код от Comodo.

Като част от моята работа (системна администрация) правя различни полезни програми, които активно използвам в собствената си работа, като в същото време ги публикувам безплатно за всички. Преди около три години имаше нужда от подписване на програми, иначе не всички мои клиенти и потребители можеха да ги изтеглят без проблеми само защото не бяха подписани. Подписването отдавна е нормална практика и колкото и сигурна да е една програма, но ако не е подписана, определено ще има повишено внимание към нея:

1. Браузърът събира статистика за това колко често се изтегля файл, а когато не е подписан, в началния етап може дори да бъде блокиран „за всеки случай“ и да изисква изрично потвърждение от потребителя, за да го запазите. Алгоритмите са различни, понякога домейнът се счита за надежден, но като цяло това е валиден подпис, който потвърждава сигурността.
2. След свалянето файла се гледа от антивирусната и то непосредствено преди стартиране на самата ОС. При антивирусите сигнатурата също е важна, това се вижда лесно на virustotal, а що се отнася до ОС, започвайки от Win10, файл с отменен сертификат веднага се блокира и не може да се стартира от Explorer. Освен това в някои организации обикновено е забранено да се изпълнява неподписан код (конфигуриран с помощта на системни инструменти) и това е оправдано - всички нормални разработчици отдавна са се уверили, че техните програми могат да бъдат проверени без допълнителни усилия.

Като цяло е избрана правилната посока - доколкото е възможно да направим интернет възможно най-безопасен за неопитни потребители. Самото изпълнение обаче все още е далеч от идеалното. Простият разработчик не може просто да получи сертификат; той трябва да бъде закупен от компании, които са монополизирали този пазар и диктуват своите условия на него. Но какво ще стане, ако програмите са безплатни? На никой не му пука. Тогава разработчикът има избор - постоянно да доказва безопасността на своите програми, жертвайки удобството на потребителите, или да закупи сертификат. Преди три години StartCom, който сега живее на дъното на океана, беше печеливш, никога не е имало проблеми с тях. В момента минималната цена се предоставя от Comodo, но, както се оказва, има една уловка - за тях разработчикът е буквално никой и измамата му е нормална практика.

След почти година използване на сертификата, който закупих в средата на 2018 г., внезапно, без предварително уведомление по пощата или по телефона, Comodo го отмени без обяснение. Тяхната техническа поддръжка не работи добре - може да не отговарят цяла седмица, но все пак успяха да разберат основната причина - сметнаха, че издаденият сертификат е подписан със зловреден софтуер. И историята можеше да приключи дотук, ако не беше едно нещо - никога не съм създавал злонамерен софтуер и моите собствени методи за защита ми позволяват да кажа, че е невъзможно да открадна моя личен ключ. Само Comodo имат копие на ключа, защото ги издават без CSR. И след това - почти две седмици неуспешни опити да се открие елементарното доказателство. Компанията, която уж гарантира защитата на сигурността, категорично отказа да предостави доказателства за нарушение на техните правила.

От последния чат с техническа поддръжкаВие 01:20
Вие сте написали „Ние се стремим да отговорим на стандартни заявки за поддръжка в рамките на същия работен ден.“ но вече седмица чакам отговор.

Винсън 01:20
Здравейте, добре дошли в Sectigo SSL Validation!
Нека проверя състоянието на вашия случай, моля, изчакайте за минута.
Проверих и поръчката беше отменена поради злонамерен софтуер/измама/фишинг от наш висш служител.

Вие 01:28
Сигурен съм, че това е ваша грешка, затова моля за доказателство.
Никога не съм имал злонамерен софтуер/измама/фишинг.

Винсън 01:30
Съжалявам, Александър. Проверих два пъти и поръчката беше отменена поради зловреден софтуер/измама/фишинг от наш висш служител.

Вие 01:31
В кой файл видяхте вируса? Има ли линк към virustotal? Не приемам отговора ви, защото в него няма доказателства. Платих пари за този сертификат и имам право да знам защо парите ми са взети насила.
Ако не можете да предоставите доказателство, тогава сертификатът е бил отменен несправедливо и трябва да върнете парите. Иначе какъв е смисълът от работата ви, ако отнемате удостоверения без доказателства?

Винсън 01:34
Разбирам загрижеността ви. Сертификатът за подписване на код е докладван за разпространение на зловреден софтуер. Съгласно индустриалните указания: Sectigo като сертифициращ орган е длъжен да отмени сертификата.
Освен това според правилата за възстановяване на суми няма да можем да възстановим сумата след 30 дни от датата на издаване.

Вие 01:35
Защо мислите, че това не е грешка или фалшив положителен резултат?

Винсън 01:36
Съжалявам, Александър. Според доклада на нашите висши служители, поръчката е отменена поради зловреден софтуер/измама/фишинг.

Вие 01:37
Няма нужда да се извинявам, аз платих парите и искам да видя доказателство, че съм нарушил вашите правила. Просто е.
Три години плащах, после ти измисли причина и ме остави без удостоверение и без доказателство за моята вина.

Винсън 01:43
Разбирам загрижеността ви. Сертификатът за подписване на код е докладван за разпространение на зловреден софтуер. Съгласно индустриалните указания: Sectigo като сертифициращ орган е длъжен да отмени сертификата.

Вие 01:45
Изглежда, че не разбираш. Къде видяхте съда, който се произнася без доказателства? Ти направи точно това. Никога не съм имал зловреден софтуер. Защо не предоставиш доказателство, ако е така? Какво конкретно доказателство е анулирането на сертификат?

Винсън 01:46
Съжалявам, Александър. Според доклада на нашите висши служители, поръчката е отменена поради зловреден софтуер/измама/фишинг.

Вие 01:47
Кой мога да разбера истинската причина за анулирането на сертификата?
Ако не можете да отговорите, кажете ми към кого да се обърна?

Винсън 01:48
Моля, изпратете отново билет, като използвате връзката по-долу, за да получите отговор възможно най-рано.
sectigo.com/support-ticket

Вие 01:48
Благодаря.
Този резултат не е изолиран, през цялото време на преговори в чата, в най-добрия случай, те отговарят едно и също нещо, на билетите или изобщо не се отговаря, или отговорите са също толкова безполезни.

Създавам билет отновоМоята молба:
Искам доказателство, че съм нарушил правило, което е довело до отмяна. Купих сертификат и искам да знам защо са ми взети парите.
"зловреден софтуер/измама/фишинг" не е отговорът! В кой файл видяхте вируса? Има ли линк към virustotal? Моля, предоставете доказателство или върнете парите, уморих се да пиша за техническа поддръжка и чаках повече от седмица.
Благодаря.

Техният отговор:
Сертификатът за подписване на код е докладван за разпространение на зловреден софтуер. Съгласно индустриалните указания: Sectigo като сертифициращ орган е длъжен да отмени сертификата.
Надеждата, че не е маймуната, която ще ми отговори, е напълно изгубена. Получава се интересна диаграма:

1. Продаваме сертификат.
2. Чакаме повече от шест месеца, така че е невъзможно да започнем диспут чрез PayPal.
3. Изтегляме и чакаме следващата поръчка. печалба!

Тъй като нямам други методи за влияние върху тях, мога само да направя публично достояние измамата им. При закупуване на сертификат от Comodo, известен още като Sectigo, може да срещнете същата ситуация.

Актуализация от 9 юни:
Днес уведомих CodeSignCert (компанията, чрез която закупих сертификата), че тъй като те спряха да отговарят, поставих ситуацията за обществено обсъждане с линк към тази статия. След известно време най-накрая изпратиха екранна снимка на virustotal, където се вижда хешът на програмата EzvitUpd:
VirusTotal - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Моята оценка на ситуацията:
Мога да кажа с увереност, че това е фалшив положителен резултат. Знаци:

1. Обозначение Generic в повечето случаи.
2. Няма откривания от лидерите на антивирусната програма.

Трудно е да се каже какво точно е причинило такава реакция от страна на антивирусите, но тъй като файлът е много остарял (създаден е преди почти година), не съм запазил изходния код на версия 1.6.1, за да пресъздам бинарно файла . Имам обаче най-новата версия 1.6.5 и като се има предвид неизменността на основния клон, там бяха направени минимални промени, но няма такива фалшиви положителни резултати:
VirusTotal - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert беше уведомен за фалшивия положителен резултат; след като станат налични допълнителни резултати от преговорите, статията ще бъде актуализирана, докато ситуацията бъде напълно решена.

Източник: www.habr.com