কমোডো অকারণে শংসাপত্র প্রত্যাহার করে

আপনি কি কল্পনা করতে পারেন যে একটি বড় কোম্পানি তার গ্রাহকদের প্রতারণা করবে, বিশেষ করে যদি এই কোম্পানি নিজেকে নিরাপত্তার গ্যারান্টার হিসাবে অবস্থান করে? তাই সম্প্রতি পর্যন্ত পারিনি। এই নিবন্ধটি আপনাকে Comodo থেকে একটি কোড স্বাক্ষর শংসাপত্র কেনার আগে দশবার ভাবতে বাধ্য করার জন্য একটি সতর্কতা।

আমার কাজের (সিস্টেম অ্যাডমিনিস্ট্রেশন) অংশ হিসাবে, আমি বিভিন্ন দরকারী প্রোগ্রাম তৈরি করি যা আমি সক্রিয়ভাবে আমার নিজের কাজে ব্যবহার করি এবং একই সাথে আমি সেগুলি সবার জন্য বিনামূল্যে পোস্ট করি। প্রায় তিন বছর আগে, প্রোগ্রামগুলিতে স্বাক্ষর করার প্রয়োজন ছিল, অন্যথায় আমার সমস্ত ক্লায়েন্ট এবং ব্যবহারকারীরা তাদের স্বাক্ষর না করার কারণে সমস্যা ছাড়াই সেগুলি ডাউনলোড করতে পারে না। স্বাক্ষর করা দীর্ঘকাল ধরে একটি স্বাভাবিক অভ্যাস এবং একটি প্রোগ্রাম যতই নিরাপদ হোক না কেন, তবে যদি এটি স্বাক্ষরিত না হয় তবে অবশ্যই এটির প্রতি মনোযোগ বাড়ানো হবে:

1. ব্রাউজারটি কত ঘন ঘন একটি ফাইল ডাউনলোড করা হয় তার পরিসংখ্যান সংগ্রহ করে এবং যখন এটি স্বাক্ষরিত হয় না, প্রাথমিক পর্যায়ে এটি এমনকি "কেবল ক্ষেত্রে" ব্লক করা যেতে পারে এবং সংরক্ষণ করার জন্য ব্যবহারকারীর কাছ থেকে একটি স্পষ্ট নিশ্চিতকরণ প্রয়োজন। অ্যালগরিদমগুলি আলাদা, কখনও কখনও ডোমেনটিকে বিশ্বস্ত হিসাবে বিবেচনা করা হয়, তবে সাধারণভাবে এটি একটি বৈধ স্বাক্ষর যা নিরাপত্তা নিশ্চিত করে৷
2. ডাউনলোড করার পরে, ফাইলটি অ্যান্টিভাইরাস দ্বারা দেখা হয় এবং OS নিজেই শুরু হওয়ার অবিলম্বে। অ্যান্টিভাইরাসগুলির জন্য, স্বাক্ষরটিও গুরুত্বপূর্ণ, এটি ভাইরাস টোটালে সহজেই দেখা যায় এবং ওএসের জন্য, Win10 দিয়ে শুরু করে, একটি প্রত্যাহার করা শংসাপত্র সহ একটি ফাইল অবিলম্বে অবরুদ্ধ করা হয় এবং এক্সপ্লোরার থেকে চালু করা যায় না। উপরন্তু, কিছু সংস্থায় সাধারণত স্বাক্ষরবিহীন কোড চালানো নিষিদ্ধ (সিস্টেম টুল ব্যবহার করে কনফিগার করা হয়েছে), এবং এটি ন্যায্য - সমস্ত সাধারণ বিকাশকারীরা দীর্ঘদিন ধরে নিশ্চিত করেছেন যে তাদের প্রোগ্রামগুলি অতিরিক্ত প্রচেষ্টা ছাড়াই চেক করা যেতে পারে।

সাধারণভাবে, সঠিক দিকটি বেছে নেওয়া হয়েছে - যতটা সম্ভব, অনভিজ্ঞ ব্যবহারকারীদের জন্য ইন্টারনেটকে যতটা সম্ভব নিরাপদ করে তোলা। যাইহোক, বাস্তবায়ন নিজেই এখনও আদর্শ থেকে অনেক দূরে. একজন সাধারণ বিকাশকারী কেবল একটি শংসাপত্র পেতে পারে না; এটি অবশ্যই এমন সংস্থাগুলির কাছ থেকে কেনা উচিত যারা এই বাজারকে একচেটিয়া করেছে এবং এটিতে তাদের শর্তাবলী নির্দেশ করে৷ কিন্তু যদি প্রোগ্রাম বিনামূল্যে হয়? কেউ গ্রাহ্য করে না. তারপরে বিকাশকারীর একটি পছন্দ রয়েছে - ক্রমাগত তার প্রোগ্রামগুলির সুরক্ষা প্রমাণ করার জন্য, ব্যবহারকারীদের সুবিধার্থে বলিদান করা বা একটি শংসাপত্র কেনা। তিন বছর আগে, স্টার্টকম, যা এখন সমুদ্রের তলদেশে বাস করে, লাভজনক ছিল; তাদের সাথে কোন সমস্যা হয়নি। এই মুহুর্তে, সর্বনিম্ন মূল্য কমোডো দ্বারা সরবরাহ করা হয়েছে, তবে, এটি দেখা যাচ্ছে, একটি ধরা আছে - তাদের জন্য বিকাশকারী আক্ষরিক অর্থে কেউ নয় এবং তার সাথে প্রতারণা করা স্বাভাবিক অনুশীলন।

2018-এর মাঝামাঝি সময়ে আমি যে শংসাপত্রটি কিনেছিলাম তা ব্যবহার করার প্রায় এক বছর পরে, হঠাৎ, মেল বা ফোনের মাধ্যমে পূর্ব বিজ্ঞপ্তি ছাড়াই, কোমোডো ব্যাখ্যা ছাড়াই এটি প্রত্যাহার করে। তাদের প্রযুক্তিগত সহায়তা ভালভাবে কাজ করে না - তারা এক সপ্তাহের জন্য সাড়া নাও দিতে পারে, তবে তারা এখনও মূল কারণ খুঁজে বের করতে পেরেছে - তারা বিবেচনা করেছে যে জারি করা শংসাপত্রটি ম্যালওয়্যার দ্বারা স্বাক্ষরিত ছিল। এবং গল্পটি সেখানেই শেষ হতে পারত, যদি এক জিনিসের জন্য না হয় - আমি কখনই ম্যালওয়্যার তৈরি করিনি এবং আমার নিজস্ব সুরক্ষা পদ্ধতি আমাকে বলতে দেয় যে আমার ব্যক্তিগত কী চুরি করা অসম্ভব। শুধুমাত্র কমোডোর কাছে কীটির একটি অনুলিপি রয়েছে কারণ তারা তাদের একটি CSR ছাড়াই ইস্যু করে। এবং তারপর - প্রাথমিক প্রমাণ খুঁজে বের করার জন্য প্রায় দুই সপ্তাহের ব্যর্থ প্রচেষ্টা। কোম্পানী, যা অনুমিতভাবে নিরাপত্তা সুরক্ষার গ্যারান্টি দেয়, স্পষ্টভাবে তাদের নিয়ম লঙ্ঘনের প্রমাণ দিতে অস্বীকার করে।

প্রযুক্তিগত সহায়তার সাথে শেষ চ্যাট থেকেআপনি 01:20
আপনি লিখেছেন "আমরা একই ব্যবসায়িক দিনের মধ্যে স্ট্যান্ডার্ড সাপোর্ট টিকিটের প্রতিক্রিয়া জানাতে চেষ্টা করি।" কিন্তু আমি এখন এক সপ্তাহ ধরে উত্তরের জন্য অপেক্ষা করছি।

ভিনসন 01:20
হাই, Sectigo SSL যাচাইকরণে স্বাগতম!
আমাকে আপনার কেস স্ট্যাটাস চেক করতে দিন, অনুগ্রহ করে এক মিনিট অপেক্ষা করুন।
আমি চেক করেছি এবং ম্যালওয়্যার/জালিয়াতি/ফিশিংয়ের কারণে আমাদের ঊর্ধ্বতন কর্মকর্তার আদেশটি প্রত্যাহার করা হয়েছে।

আপনি 01:28
আমি নিশ্চিত যে এটি আপনার ভুল, তাই আমি প্রমাণ চাই।
আমার কখনই ম্যালওয়্যার/জালিয়াতি/ফিশিং ছিল না।

ভিনসন 01:30
আমি দুঃখিত, আলেকজান্ডার. আমি দুবার চেক করেছি এবং ম্যালওয়্যার/জালিয়াতি/ফিশিংয়ের কারণে আমাদের উচ্চ কর্মকর্তার আদেশটি প্রত্যাহার করা হয়েছে৷

আপনি 01:31
কোন ফাইলে আপনি ভাইরাস দেখেছেন? ভাইরাস টোটাল একটি লিঙ্ক আছে? আমি আপনার উত্তর গ্রহণ করি না কারণ এতে কোন প্রমাণ নেই। আমি এই শংসাপত্রের জন্য অর্থ প্রদান করেছি এবং কেন আমার কাছ থেকে জোর করে টাকা নেওয়া হয়েছে তা জানার অধিকার আমার আছে।
যদি আপনি প্রমাণ দিতে না পারেন, তাহলে সার্টিফিকেট অন্যায়ভাবে প্রত্যাহার করা হয়েছে এবং টাকা ফেরত দিতে হবে। নইলে প্রমাণ ছাড়া সার্টিফিকেট বাতিল করলে আপনার কাজের মানে কী?

ভিনসন 01:34
আমি তোমার উদ্বেগের কারণ বুঝতে পারছি. কোড সাইনিং সার্টিফিকেট ম্যালওয়্যার বিতরণের জন্য রিপোর্ট করা হয়েছে. শিল্প নির্দেশিকা অনুযায়ী: একটি শংসাপত্র কর্তৃপক্ষ হিসাবে Sectigo শংসাপত্র প্রত্যাহার করতে হবে।
এছাড়াও রিফান্ড নীতি অনুযায়ী, আমরা ইস্যুর তারিখ থেকে 30 দিনের পরে ফেরত দিতে পারব না।

আপনি 01:35
আপনি কেন মনে করেন এটি একটি ভুল বা মিথ্যা ইতিবাচক নয়?

ভিনসন 01:36
আমি দুঃখিত, আলেকজান্ডার. আমাদের ঊর্ধ্বতন কর্মকর্তাদের রিপোর্ট অনুযায়ী, ম্যালওয়্যার/জালিয়াতি/ফিশিংয়ের কারণে আদেশটি প্রত্যাহার করা হয়েছে।

আপনি 01:37
ক্ষমা চাওয়ার দরকার নেই, আমি টাকা দিয়েছি এবং আমি প্রমাণ দেখতে চাই যে আমি আপনার নিয়ম লঙ্ঘন করেছি। ইহা সহজ.
আমি তিন বছরের জন্য অর্থ প্রদান করেছি, তারপর আপনি একটি কারণ নিয়ে এসেছিলেন এবং একটি শংসাপত্র ছাড়াই এবং আমার অপরাধের প্রমাণ ছাড়াই আমাকে ছেড়ে চলে গেছেন।

ভিনসন 01:43
আমি তোমার উদ্বেগের কারণ বুঝতে পারছি. কোড সাইনিং সার্টিফিকেট ম্যালওয়্যার বিতরণের জন্য রিপোর্ট করা হয়েছে. শিল্প নির্দেশিকা অনুযায়ী: একটি শংসাপত্র কর্তৃপক্ষ হিসাবে Sectigo শংসাপত্র প্রত্যাহার করতে হবে।

আপনি 01:45
মনে হচ্ছে আপনি বুঝতে পারছেন না। প্রমাণ ছাড়া সাজা দেওয়া আদালত কোথায় দেখলেন? আপনি ঠিক তাই করেছেন. আমি ম্যালওয়্যার ছিল না. যদি থাকে তাহলে আপনি প্রমাণ দেন না কেন? কোন নির্দিষ্ট প্রমাণ একটি শংসাপত্র প্রত্যাহার?

ভিনসন 01:46
আমি দুঃখিত, আলেকজান্ডার. আমাদের ঊর্ধ্বতন কর্মকর্তাদের রিপোর্ট অনুযায়ী, ম্যালওয়্যার/জালিয়াতি/ফিশিংয়ের কারণে আদেশটি প্রত্যাহার করা হয়েছে।

আপনি 01:47
সার্টিফিকেট প্রত্যাহার করার প্রকৃত কারণ আমি কে জানতে পারি?
উত্তর দিতে না পারলে কার সাথে যোগাযোগ করব বলুন?

ভিনসন 01:48
নীচের লিঙ্কটি ব্যবহার করে আবার একটি টিকিট জমা দিন যাতে আপনি যত তাড়াতাড়ি সম্ভব একটি প্রতিক্রিয়া পেতে পারেন।
sectigo.com/support-ticket

আপনি 01:48
ধন্যবাদ.
এই ফলাফলটি বিচ্ছিন্ন নয়, আড্ডায় আলোচনার সমস্ত সময়, সর্বোত্তমভাবে, তারা একই জিনিসের উত্তর দেয়, টিকিট হয় একেবারেই উত্তর দেওয়া হয় না, বা উত্তরগুলি ঠিক ততটাই অকেজো।

আমি আবার টিকিট তৈরি করছিআমার অনুরোধ:
আমি প্রমাণ চাই যে আমি একটি নিয়ম লঙ্ঘন করেছি যা প্রত্যাহার করেছে৷ আমি একটি সার্টিফিকেট কিনেছি এবং আমার কাছ থেকে কেন টাকা নেওয়া হয়েছে তা জানতে চাই।
"ম্যালওয়্যার/জালিয়াতি/ফিশিং" উত্তর নয়! কোন ফাইলে আপনি ভাইরাস দেখেছেন? ভাইরাস টোটাল একটি লিঙ্ক আছে? অনুগ্রহ করে প্রমাণ দিন বা টাকা ফেরত দিন, আমি প্রযুক্তিগত সহায়তা লিখতে ক্লান্ত হয়ে পড়েছি এবং এক সপ্তাহেরও বেশি সময় ধরে অপেক্ষা করছি।
ধন্যবাদ.

তাদের উত্তর:
কোড সাইনিং সার্টিফিকেট ম্যালওয়্যার বিতরণের জন্য রিপোর্ট করা হয়েছে. শিল্প নির্দেশিকা অনুযায়ী: একটি শংসাপত্র কর্তৃপক্ষ হিসাবে Sectigo শংসাপত্র প্রত্যাহার করতে হবে।
বানর নয় যে আমার উত্তর দেবে সেই আশা একেবারেই হারিয়ে গেছে। একটি আকর্ষণীয় চিত্র ফুটে উঠেছে:

1. আমরা একটি শংসাপত্র বিক্রি করি।
2. আমরা ছয় মাসেরও বেশি সময় ধরে অপেক্ষা করছি যাতে পেপ্যালের মাধ্যমে বিরোধ খোলা অসম্ভব।
3. আমরা প্রত্যাহার করছি এবং পরবর্তী আদেশের জন্য অপেক্ষা করছি। লাভের !

যেহেতু আমার কাছে তাদের প্রভাবিত করার অন্য কোন পদ্ধতি নেই, আমি শুধুমাত্র তাদের জালিয়াতি প্রকাশ করতে পারি। Comodo থেকে একটি শংসাপত্র কেনার সময়, যা Sectigo নামেও পরিচিত, আপনি একই পরিস্থিতির সম্মুখীন হতে পারেন।

9 জুন আপডেট:
আজ আমি CodeSignCert (যে কোম্পানির মাধ্যমে আমি শংসাপত্র কিনেছিলাম) জানিয়েছি যে যেহেতু তারা প্রতিক্রিয়া দেওয়া বন্ধ করে দিয়েছে, আমি এই নিবন্ধটির একটি লিঙ্ক সহ জনসাধারণের আলোচনার জন্য পরিস্থিতি তুলে ধরেছি। কিছু সময় পরে, তারা অবশেষে ভাইরাসটোটালের একটি স্ক্রিনশট পাঠায়, যেখানে প্রোগ্রাম হ্যাশটি দৃশ্যমান ছিল EzvitUpd:
ভাইরাস মোট - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

পরিস্থিতি সম্পর্কে আমার মূল্যায়ন:
আমি আত্মবিশ্বাসের সাথে বলতে পারি যে এটি একটি মিথ্যা ইতিবাচক। লক্ষণ:

1. বেশিরভাগ ক্ষেত্রে পদবি জেনেরিক।
2. অ্যান্টিভাইরাস নেতাদের থেকে কোন সনাক্তকরণ.

অ্যান্টিভাইরাসগুলি থেকে ঠিক কী কারণে এমন প্রতিক্রিয়া হয়েছিল তা বলা মুশকিল, তবে যেহেতু ফাইলটি খুব পুরানো (এটি প্রায় এক বছর আগে তৈরি করা হয়েছিল), ফাইলটি পুনরায় তৈরি করার জন্য আমার কাছে সংস্করণ 1.6.1 এর সোর্স কোডটি সংরক্ষিত ছিল না। . যাইহোক, আমার কাছে সর্বশেষ সংস্করণ 1.6.5 রয়েছে, এবং প্রধান শাখার অপরিবর্তনীয়তা দেওয়া হয়েছে, সেখানে ন্যূনতম পরিবর্তন করা হয়েছিল, তবে এই জাতীয় কোনও মিথ্যা ইতিবাচক নেই:
ভাইরাস মোট - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert মিথ্যা ইতিবাচক সম্পর্কে অবহিত করা হয়েছে; আলোচনার আরও ফলাফল উপলব্ধ হয়ে গেলে, পরিস্থিতি সম্পূর্ণরূপে সমাধান না হওয়া পর্যন্ত নিবন্ধটি আপডেট করা হবে।

উত্স: www.habr.com