Kunne du forestille dig, at et stort firma ville bedrage sine kunder, især når dette firma præsenterer sig selv som en garant for sikkerhed? Det kunne jeg heller ikke indtil for nylig. Denne artikel er en advarsel om, at du skal tænke dig om ti gange, før du køber et certifikat til kodeunderskrift fra Comodo.
I forbindelse med mit arbejde (systemadministration) laver jeg forskellige nyttige programmer, som jeg aktivt bruger i mit eget arbejde, og jeg lægger dem gratis ud til alle, der måtte være interesserede. For omkring tre år siden opstod behovet for at underskrive programmer; ellers kunne ikke alle mine kunder og brugere uden problemer downloade dem, blot fordi de ikke var underskrevet. At have en underskrift er længe blevet en normal praksis, og det er ligegyldigt, hvor sikker programmet er, men hvis det ikke er underskrevet, vil der helt sikkert være øget opmærksomhed omkring det:
- Browseren indsamler statistik over, hvor ofte en fil downloades, og når den ikke er underskrevet, kan den i begyndelsen endda blive blokeret «for en sikkerheds skyld» og kræve brugerens klare bekræftelse for at gemme. Algoritmerne kan variere, nogle gange betragtes domænet som betroet, men generelt er det en gyldig underskrift, der bekræfter sikkerheden.
- Efter download scanner antivirusprogrammet filen, og lige før den køres, undersøger selve OS'en den. For antivirusprogrammer er underskriften også meget vigtig, hvilket man nemt kan følge på virustotal, og hvad angår OS'en, bliver filer med et tilbagekaldt certifikat straks blokeret fra Win10, og de kan ikke køres fra Stifinder. Derudover er det i nogle organisationer helt forbudt at køre usigneret kode (dette kan konfigureres gennem systemværktøjerne), og det er berettiget — alle normale udviklere har længe sørget for, at deres programmer kan verificeres uden yderligere besvær.
Generelt set er retningen den rigtige — at gøre internettet så sikkert som muligt for uerfarne brugere, når det er muligt. Men selve implementeringen er stadig langt fra ideel. En almindelig udvikler kan ikke bare få et certifikat; det skal købes fra virksomheder, der har monopoliseret dette marked og dikterer deres vilkår. Men hvad nu hvis programmerne er gratis? Det bekymrer ingen. Så har udvikleren et valg — konstant bevise sikkerheden i sine programmer på bekostning af brugervenligheden eller købe et certifikat. For tre år siden var StartCom en fordelagtig mulighed, men de findes nu kun på bunden af havet, der har aldrig været problemer med dem. På nuværende tidspunkt tilbyder Comodo den laveste pris, men som det viser sig, er der en fangst — for dem er udvikleren bogstaveligt talt ingen, og at forsømme ham er en normal praksis.
Efter næsten et års brug af det certifikat, jeg købte i midten af 2018, trak Comodo pludselig det tilbage uden forudgående varsel via e-mail eller telefon. Deres kundesupport fungerer dårligt — de kan være urespondent i en uge, men jeg lykkedes dog at finde ud af hovedårsagen — de mente, at det udstedte certifikat havde været brugt til at signere skadelig software. Og historien kunne være slut dér, hvis ikke for én ting — jeg har aldrig oprettet skadelig software, og mine egne beskyttelsesmetoder gør det muligt at påstå, at det er umuligt at stjæle min private nøgle. Der er kun en kopi af nøglen hos Comodo, fordi de udleverer dem uden CSR. Og derefter — næsten to uger uden heldige forsøg på at få et elementært bevis. Virksomheden, der påstås at garantere sikkerhed, nægtede fuldstændigt at give bevis for overtrædelsen af deres regler.
Fra den seneste chat med kundesupportYou 01:20
You have written «We strive to respond to standard support tickets within the same business day.» but I have been waiting for a response for a week now.
Vinson 01:20
Hej, velkommen til Sectigo SSL Validering!
Lad mig tjekke status for din sag, venligst vent et øjeblik.
Jeg har tjekket og ordren er blevet tilbagekaldt på grund af malware/svindel/phishing af vores højere officielle.
You 01:28
Jeg er sikker på, at det er jeres fejl, så jeg beder om bevis.
Jeg har aldrig haft malware/svindel/phishing.
Vinson 01:30
Jeg er ked af det, Alexander. Jeg har dobbelttjekket, og ordren er blevet tilbagekaldt på grund af malware/svindel/phishing af vores højere officielle.
You 01:31
I hvilken fil så du virussen? Er der et link til virustotal? Jeg accepterer ikke dit svar, fordi der ikke er noget bevis i det. Jeg betalte for dette certifikat, og jeg har ret til at vide, hvorfor mine penge bliver taget fra mig med magt.
Hvis du ikke kan fremvise bevis, så blev certifikatet tilbagekaldt uretfærdigt, og pengene skal tilbagebetales. Ellers, hvad er meningen med dit arbejde, hvis du tilbagekalder certifikater uden bevis?
Vinson 01:34
Jeg forstår din bekymring. Den kode-signering certificeret er blevet rapporteret for at distribuere malware. Ifølge branche retningslinjer: Sectigo, som en certifikatmyndighed, er forpligtet til at tilbagekalde certifikatet.
Som beskrevet i refusionspolitikken, vil vi ikke kunne refundere efter 30 dage fra udstedelsesdatoen.
Du 01:35
Hvorfor mener du, at dette ikke er en fejl eller et falsk positivt resultat?
Vinson 01:36
Jeg beklager, Alexander. Ifølge vores højere ledelses rapport er ordren blevet tilbagekaldt på grund af malware/bedrag/phishing.
Du 01:37
Der er ingen grund til at undskylde, jeg har betalt pengene, og jeg vil se bevis for, at jeg har overtrådt dine regler. Det er simpelt.
Jeg betalte for tre år, så kom I op med en grund og efterlod mig uden certifikat og uden bevis for min skyld.
Vinson 01:43
Jeg forstår din bekymring. Den kode-signering certificeret er blevet rapporteret for at distribuere malware. Ifølge branche retningslinjer: Sectigo, som en certifikatmyndighed, er forpligtet til at tilbagekalde certifikatet.
Du 01:45
Det ser ud til, at du ikke forstår. Hvor så du retten dømme uden bevis? Det gjorde du netop. Jeg har aldrig haft malware. Hvorfor giver du ikke bevis, hvis det er? Hvad er det specifikke bevis for et certifikat tilbagekaldelse?
Vinson 01:46
Jeg beklager, Alexander. Ifølge vores højere ledelses rapport er ordren blevet tilbagekaldt på grund af malware/bedrag/phishing.
Du 01:47
Hvem kan jeg kontakte for at finde frem til den ægte årsag til tilbagekaldelsen af certifikatet?
Hvis du ikke kan svare, så sig mig, hvem jeg skal kontakte?
Vinson 01:48
Please submit a ticket again using the below link so that you should receive a response as earlier as possible.
Du 01:48
Tak.
Sådan et resultat er ikke unikt; under hele samtalen i chatten svarer de i bedste fald det samme, og på billetterne svarer de enten slet ikke eller svarene er lige så ubrugelige.
Jeg opretter igen en billet.Min anmodning:
Jeg kræver bevis for, at jeg har overtrådt en regel, der førte til tilbagekaldelsen. Jeg købte et certifikat og vil vide, hvorfor mine penge er taget fra mig.
“malware/betrug/phishing” er ikke svaret! I hvilken fil så du virusen? Er der et link til virustotal? Venligst fremlæg bevis eller returner pengene, jeg er træt af at skrive til teknisk support og har ventet i over en uge.
Tak.
Deres svar:
Den kode-signering certificeret er blevet rapporteret for at distribuere malware. Ifølge branche retningslinjer: Sectigo, som en certifikatmyndighed, er forpligtet til at tilbagekalde certifikatet.
Håbet om, at jeg ikke bliver svaret af en abe, forsvinder endelig. En interessant ordning er ved at tegne sig:
- Vi sælger certifikatet.
- Vi venter i mere end et halvt år, så at man ikke kan åbne en disput med PayPal.
- Vi tilbagekalder og venter på næste ordre. Profit!
Da jeg ikke har andre metoder til at påvirke dem, kan jeg kun bringe deres svindel frem i lyset. Når du køber et certifikat fra Comodo, som også er Sectigo, kan du støde på den samme situation.
Opdatering den 9. juni:
I dag informerede jeg CodeSignCert (firmaet, hvor jeg købte certifikatet) om, at da de er stoppet med at svare, så har jeg bragt situationen til offentligheden med henvisning til denne artikel. Efter lidt tid sendte de endelig et screenshot fra virustotal, hvor hash af programmet kunne ses. :
VirusTotal —
Min vurdering af situationen:
Jeg kan med sikkerhed sige, at det er et falsk positivt resultat. Tegn:
- Betegnelsen Generic i de fleste falske alarmer.
- Manglende alarmer hos antivirusledere.
Det er svært at sige, hvad der præcist forårsagede denne reaktion fra antivirusprogrammerne, men da filen er meget forældet (oprettet for næsten et år siden), har jeg ikke den originale version 1.6.1 for at genskabe filen binært. Men jeg har den seneste version 1.6.5, og da hovedgrenen har været uændret, har der kun været minimale ændringer, men denne version har ikke sådanne falske alarmer:
VirusTotal —
CodeSignCert er blevet informeret om den falske alarm, og artiklen vil blive opdateret til en fuld løsning af situationen efter yderligere forhandlinger.
Kilde: habr.com
