Mohli byste si představit, že velká společnost podvádí své zákazníky, zejména pokud se tato společnost prezentuje jako záruka bezpečnosti? Já jsem si to také nemohl představit až donedávna. Tento článek je varováním, abyste se před zakoupením certifikátu pro podepisování kódu od Comodo desetkrát zamysleli.
Ve své práci (systémová administrace) vyvíjím různé užitečné programy, které aktivně používám ve své práci, a také je zdarma sdílím pro všechny zájemce. Před přibližně třemi lety jsem zjistil, že je nutné programy podepisovat, jinak nemohli všichni moji klienti a uživatelé bez problémů je stahovat pouze proto, že nebyly podepsány. Už dlouho je podepisování normální praxí a nezáleží na tom, jak bezpečný je program, ale pokud není podepsán, bude mít vždy zvýšenou pozornost.
- Prohlížeč shromažďuje statistiky o tom, jak často se soubor stahuje, a pokud není podepsán, na začátku může být dokonce zablokován 'pro jistotu' a vyžadovat od uživatele výslovné potvrzení pro jeho uložení. Algoritmy jsou různé, někdy je doména považována za důvěryhodnou, ale obecně platí, že platný podpis je potvrzením bezpečnosti.
- Po stažení soubor kontroluje antivirus a přímo před spuštěním ho zkontroluje i samotný operační systém. Pro antiviry je podpis také velmi důležitý, což lze snadno zjistit na virustotal, co se týče operačního systému, od Win10 je soubor s odvolaným certifikátem okamžitě blokován a nelze ho spustit z průzkumníka. Kromě toho, v některých organizacích je spuštění nepodepsaného kódu zcela zakázáno (což se nastavuje pomocí systémových nástrojů) a je to odůvodněné — všichni normální vývojáři se už dávno postarali o to, aby bylo možné jejich programy ověřit bez dodatečného úsilí.
Celkově je směr správně zvolen — snažit se udělat internet co nejbezpečnějším pro nezkušené uživatele. Nicméně realizace zatím není ideální. Obvyklý vývojář si nemůže jednoduše pořídit certifikát, je nutné ho kupovat od firem, které tento trh monopolizovaly a určují jeho podmínky. Ale co když jsou programy zdarma? To nikoho nezajímá. Potom má vývojář na výběr — neustále dokazovat bezpečnost svých programů na úkor pohodlí uživatelů, nebo kupovat certifikát. Před třemi lety byl výhodný StartCom, který nyní leží na dně oceánu, s nimi nikdy nebyly problémy. V současnosti nabízí nejnižší cenu Comodo, ale, jak se ukázalo, je zde háček — pro ně je vývojář doslova nikdo a podvádět ho — běžná praxe.
Po téměř roce používání certifikátu, který jsem zakoupil v polovině roku 2018, ho Comodo náhle, bez předchozího upozornění e-mailem nebo telefonicky, odvolal bez vysvětlení důvodů. Podpora u nich funguje špatně — mohou neodpovědět týdny, přesto se mi přece jen podařilo zjistit hlavní důvod — považovali, že certifikát byl použit k podepisování škodlivého software. A tím by příběh mohl skončit, kdyby nebylo jednoho „ale“ — nikdy jsem nevytvářel škodlivý software, a mé vlastní ochranné metody umožňují tvrdit, že ukradnout můj soukromý klíč není možné. Kopie klíče má pouze Comodo, protože je vydávají bez CSR. A dále — téměř dva týdny marných pokusů zjistit elementární důkaz. Společnost, která údajně zaručuje ochranu v oblasti bezpečnosti, kategoricky odmítla poskytnout důkaz o porušení jejich pravidel.
Z posledního chatu se zákaznickou podporouYou 01:20
Napsal jste «Snažíme se odpovědět na standardní požadavky do konce pracovního dne.» Ale já čekám na odpověď už týden.
Vinson 01:20
Dobrý den, vítejte v Sectigo SSL Validation!
Nechte mě zkontrolovat stav vaší objednávky, prosím, chvíli vyčkejte.
Zkontroloval jsem to a objednávka byla odvolána kvůli malwaru/podvodu/klamání naším nadřízeným.
You 01:28
Jsem si jistý, že to je vaše chyba, proto žádám o důkaz.
Nikdy jsem neměl malware/podvod/klamání.
Vinson 01:30
Omlouvám se, Alexandře. Dvakrát jsem to zkontroloval a objednávka byla odvolána kvůli malwaru/podvodu/klamání naším nadřízeným.
You 01:31
V jakém souboru jste viděli virus? Je tam odkaz na virustotal? Nepřijímám vaši odpověď, protože v ní není žádný důkaz. Zaplatil jsem za tento certifikát a mám právo vědět, proč mi byly mé peníze zabrány násilím.
Pokud nemůžete poskytnout důkaz, pak byl certifikát revokován nespravedlivě a musí vám být vráceny peníze. Jinak, jaký je smysl vaší práce, pokud revokujete certifikáty bez důkazu?
Vinson 01:34
Chápu vaše obavy. Certifikát pro podepisování kódu byl nahlášen za šíření malwaru. Podle průmyslových směrnic: Sectigo jako certifikační autorita je povinen certifikát revokovat.
Také podle zásad vracení peněz nemůžeme po 30 dnech od data vydání vrátit žádné peníze.
Vy 01:35
Proč si myslíte, že to není chyba nebo falešný poplach?
Vinson 01:36
Omlouvám se, Alexi. Podle hlášení našich vyšších úředníků byla objednávka revokována kvůli malwaru/podrazu/falešnému phishingu.
Vy 01:37
Není třeba se omlouvat, zaplatil jsem peníze a chci vidět důkaz, že jsem porušil vaše pravidla. Je to jednoduché.
Zaplatil jsem za tři roky, pak jste přišli s důvodem a nechali mě bez certifikátu a bez důkazu mé viny.
Vinson 01:43
Chápu vaše obavy. Certifikát pro podepisování kódu byl nahlášen za šíření malwaru. Podle průmyslových směrnic: Sectigo jako certifikační autorita je povinen certifikát revokovat.
Vy 01:45
Zdá se, že nechápete. Kde jste viděli soud, který vynáší rozsudek bez důkazů? Udělali jste právě to. Nikdy jsem neměl malware. Proč neposkytujete důkaz, pokud existuje? Jaký konkrétní důkaz je revokace certifikátu?
Vinson 01:46
Omlouvám se, Alexi. Podle hlášení našich vyšších úředníků byla objednávka revokována kvůli malwaru/podrazu/falešnému phishingu.
Vy 01:47
Kdo mi může sdělit skutečný důvod revokace certifikátu?
Pokud nemůžete odpovědět, řekněte mi, na koho se mám obrátit?
Vinson 01:48
Prosím, znovu vytvořte tiket pomocí níže uvedeného odkazu, abyste obdrželi odpověď co nejdříve.
Vy 01:48
Děkuji.
Takový výsledek není ojedinělý, během celého jednání v chatu odpovídají v nejlepším případě stále to samé, na tikety buď neodpovídají vůbec, nebo odpovědi jsou stejně bezcenné.
Znovu vytvářím tiketMůj dotaz:
Požaduji důkaz, že jsem porušil pravidlo, které vedlo k revokaci. Koupil jsem certifikát a chci vědět, proč mi byly peníze vzaty.
„malware/podvod/phishing“ není odpověď! V kterém souboru jste viděli virus? Existuje odkaz na virustotal? Prosím, poskytněte důkaz nebo vraťte peníze, už mě unavuje psát technické podpoře a čekám už více než týden.
Děkuji.
Jejich odpověď:
Certifikát pro podepisování kódu byl nahlášen za šíření malwaru. Podle průmyslových směrnic: Sectigo jako certifikační autorita je povinen certifikát revokovat.
Naděje, že mi odpoví někdo jiný než opice, se definitivně vytrácí. Zajímavý se ukazuje vzor:
- Prodáváme certifikát.
- Čekáme více než půl roku, aby přes PayPal nebylo možné otevřít spor.
- Revokujeme a čekáme na další objednávku. Zisk!
Protože nemám jiné metody, jak na ně působit, mohu jen prozradit jejich podvod. Při koupi certifikátu od Comodo, který je také Sectigo, se můžete setkat se stejnou situací.
Aktualizace z 9. června:
Dnes jsem informoval CodeSignCert (firmu, přes kterou jsem certifikát koupil), že protože přestali odpovídat, přenesl jsem situaci na veřejnou diskusi s odkazem na tento článek. Po nějaké době mi konečně poslali screenshot virustotal, kde byl vidět hash programu :
VirusTotal —
Můj názor na situaci:
S jistotou mohu říci, že to je falešné pozitivum. Příznaky:
- Označení Generic ve většině falešných poplachů.
- Nedostatek falešných poplachů u antivirových lídrů.
Těžko říct, co přesně vyvolalo takovou reakci antivirů, ale protože soubor je velmi zastaralý (byl vytvořen skoro před rokem), nemám původní verzi 1.6.1, abych soubor binárně znovu vytvořil. Nicméně mám poslední verzi 1.6.5 a vzhledem k neměnnosti hlavní větve, byly provedeny minimální změny, ale na ní žádné takové falešné poplachy nejsou:
VirusTotal —
CodeSignCert byl informován o falešném poplachu, po dalším vývoji jednání bude článek aktualizován na úplné vyřešení situace.
Zdroj: habr.com
