Comodo tagasi kutsub sertifikaate ilma põhjuseta

Kas te suudate ette kujutada, et suur ettevõte petab oma kliente, eriti kui see ettevõte positsioneerib end turvalisuse garantii? Nii ma ei suutnud kuni hiljuti. See artikkel on hoiatuseks, et peaksite enne Comodolt koodiallkirja sertifikaadi ostmist kümme korda mõtlema.

Oma töö tõttu (süsteemiadministreerimine) loon erinevaid kasulikke programme, mida aktiivselt oma töös kasutan ja samas tasuta kõigile huvilistele jagan. Umbes kolm aastat tagasi tekkis vajadus programme allkirjastada, muidu ei saanud kõik minu kliendid ja kasutajad neid ilma probleemideta alla laadida lihtsalt selle tõttu, et need ei olnud allkirjastatud. Allkiri on juba ammu muutunud tavapraktikaks ning ei oma tähtsust, kui turvaline programm on, kuid kui see ei ole allkirjastatud, siis pööratakse sellele kindlasti rohkem tähelepanu:

1. Brauserid koguvad statistikat, kui tihti faili alla laetakse, ja kui see ei ole allkirjastatud, siis võib alguses see isegi edasilükkuda "igasuguste äparduste vältimiseks" ja nõuda kasutajalt selget kinnitust salvestamiseks. Algoritmid võivad olla erinevad, mõnikord loetakse domeeni usaldusväärseks, kuid kokkuvõttes on just kehtiv allkiri turvalisuse tõendamine.
2. Pärast allalaadimist vaatab faili üle viirusetõrje ja vahetult enne käivitamist operatsioonisüsteem ise. Viirusetõrjete jaoks on allkiri samuti oluline, seda on lihtne jälgida virustotalis, ja mis puutub operatsioonisüsteemi, siis alates Win10-st blokeeritakse kohe fail, millel on tagandid tõmmatud, ja seda ei saa Failihaldurist avada. Lisaks keelatakse mõnedes organisatsioonides üldse allkirjastamata koodi käivitamine (seda saab seadistada süsteemi vahenditega), ja see on õigustatud — kõik normaalsed arendajad on ammu hoolitsenud selle eest, et nende programme saaks ilma lisapüüdlusteta kontrollida.

Kokkuvõttes on suund õige — võimaluste piires muuta internet võimalikult ohutuks kogenematutele kasutajatele. Siiski on rakendamine kaugel ideaalist. Lihtne arendaja ei saa lihtsalt sertifikaati, seda tuleb osta ettevõtetelt, kes on turgu monopoliseerinud ja dikteerivad seal oma tingimusi. Aga mis siis, kui programmid on tasuta? See ei huvita kedagi. Siis on arendajal valik — pidevalt tõestada oma programmide ohutust, ohverdades kasutajate mugavust, või osta sertifikaat. Kolm aastat tagasi oli kasulik StartCom, kes nüüd elab ookeani põhjas, nendega ei olnud kunagi probleeme. Praegu pakub minimaalset hinda Comodo, kuid nagu selgus, on seal konks — arendaja jaoks on nad praktiliselt keegi ja petmine on seal normaalne praktika.

Peaaegu aasta sertifikaadi kasutamisest, mille ostsin 2018. aasta keskel, tühistas Comodo selle ootamatult, ilma eelneva teavitamiseta e-posti või telefoni teel, selgitamata põhjuseid. Nende tugiteenindus töötab halvasti — nad võivad mitte vastata nädal aega, kuid põhjus siiski selgus — nad arvasid, et väljastatud sertifikaadiga oli allkirjastatud pahavara. Ja selle looga olekski võinud lõpetada, kui mitte üks aga — ma ei ole kunagi loonud pahavara ja minu kaitsemeetodid võimaldavad kinnitada, et minu privaatvõti ei saa varastada. Koopia võtmega on ainult Comodol, kuna nad väljastavad neid ilma CSR-ta. Edasiemanen — peaaegu kaks nädalat kasutuid katseid elementaarset tõestust saada. Ettevõte, mis väidetavalt tagab turvalisuse, keeldus kategooriliselt tõendite esitamisest.

Viimases vestluses tugiteenindusegaYou 01:20
You have written «We strive to respond to standard support tickets within the same business day.» but I have been waiting for a response for a week now.

Vinson 01:20
Tere, olete oodatud Sectigo SSL-i valideerimisele!
Las ma kontrollin teie juhtumi staatust, palun oodake minut.
Olen kontrollinud ja tellimus on tühistatud pahavara/pettuse/ründetegevuse tõttu meie kõrgema ametniku poolt.

You 01:28
Olen kindel, et see on teie viga, seetõttu palun tõendust.
Ma ei ole kunagi omanud pahavara/pettust/ründetegevust.

Vinson 01:30
Kahju, Alexander. Olen kahekordselt kontrollinud ja tellimus on tühistatud pahavara/pettuse/ründetegevuse tõttu meie kõrgema ametniku poolt.

You 01:31
Millises failis te nägite viirust? Kas seal on link virustotalile? Ma ei nõustu teie vastusega, kuna selles ei ole tõendit. Ma maksin selle sertifikaadi eest raha ja mul on õigus teada, miks mul on sunnitud raha võtma.
Kui te ei saa tõestust esitada, siis tühistati sertifikaat ebaõiglaselt ja raha tuleb tagasi maksta. Muidu, mis mõte on teie tööl, kui te tühistate sertifikaate ilma tõendusmaterjalita?

Vinson 01:34
Mõistan teie muret. Koodialsigned sertifikaati on teatatud kurja tekitamise eest. Tootmisvaldkonna juhiste kohaselt on Sectigo kui sertifikaadi väljaandja kohustatud sertifikaadi tühistama.
Samuti, vastavalt tagasimaksepoliitikale, ei saa me raha tagasi maksta 30 päeva möödumisel väljaandmise kuupäevast.

Teie 01:35
Miks te arvate, et see ei ole viga või vale positiivne?

Vinson 01:36
Kahjuks, Alexander. Vastavalt meie ülemate teatele, on tellimus tühistatud kurja tegevuse / pettuse / kalastamise tõttu.

Teie 01:37
Ei ole vaja vabandada, maksin raha ja tahan näha tõestust, et ma rikkuin teie reegleid. See on lihtne.
Maksin kolme aasta eest, siis tuli teilt põhjus, jätsite mind sertifikaadita ja ilma tõendusmaterjalita.

Vinson 01:43
Mõistan teie muret. Koodialsigned sertifikaati on teatatud kurja tekitamise eest. Tootmisvaldkonna juhiste kohaselt on Sectigo kui sertifikaadi väljaandja kohustatud sertifikaadi tühistama.

Teie 01:45
Tundub, et te ei saa aru. Kuidas nägite kohut, mis langetab otsuse ilma tõendusmaterjalita? Te tegite just sedasi. Mul pole kunagi olnud kurja tarkvara. Miks te ei esita tõestust, kui see on nii? Mis konkreetne tõendus on sertifikaadi tühistamine?

Vinson 01:46
Kahjuks, Alexander. Vastavalt meie ülemate teatele, on tellimus tühistatud kurja tegevuse / pettuse / kalastamise tõttu.

Teie 01:47
Kelle poole ma saan pöörduda, et teada saada sertifikaadi tühistamise õiget põhjust?
Kui te ei saa vastata, öelge, kelle poole pöörduda?

Vinson 01:48
Palun esitage pilet uuesti, kasutades allolevat linki, et saaksite võimalikult kiiresti vastuse.
sectigo.com/support-ticket

Teie 01:48
Aitäh.
Selline olukord ei ole ainulaadne, kogu vestluse jooksul vastatakse paremal juhul ikka ja jälle ühte ja sama, piletele ei vastata üldse või vastused on sama kasutu.

Loon pileti uuestiMinu päring:
Vajan tõendit, et olen reeglit rikkunud, mis viis tühistamiseni. Ostsin sertifikaadi ja tahan teada, miks mu raha on minu käest võetud.
„kurja tarkvara / pettus / kalastamine“ ei ole vastus! Millises failis te nägite viirust? Kas on viidatud virustotalile? Palun esitage tõend või tagastage raha, olen tüdinud tehnilisest toetusest kirjutamisest ja olen oodanud rohkem kui nädala.
Aitäh.

Nende vastus:
Koodialsigned sertifikaati on teatatud kurja tekitamise eest. Tootmisvaldkonna juhiste kohaselt on Sectigo kui sertifikaadi väljaandja kohustatud sertifikaadi tühistama.
Lootus, et mulle vastab mitte ahv, kaob lõplikult. Huvitav skeem paistab välja:

1. Müüme sertifikaadi.
2. Ootame üle poole aasta, et PayPali kaudu ei saaks vaidlust avada.
3. Tühistame ja ootame järgmist tellimust. Profit!

Kuna mul ei ole neile muid mõjuvõimu esitamisviise, pean ma lihtsalt nende petmist avalikkusele rääkima. Ostes sertifikaadi Comodolt, nad on ju Sectigo, võite sattuda sarnasesse olukorda.

Uuendus 9. juunist:
Täna teavitasin CodeSignCert'i (ettevõtte, mille kaudu ostsin sertifikaadi), et kuna nad on lõpetanud vastamise, olen olukorra välja toonud avalikuks aruteluks, viidates sellele artiklile. Mõne aja pärast saatsid nad lõpuks ekraanipildi virustotal'ist, kus oli näha programmi hash EzvitUpd:
VirusTotal — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Minu hinnang olukorrale:
Võin kindlalt öelda, et see on vale positiivne. Märgised:

1. Generic tähistus enamikus valehäiretes.
2. Antiviirusjuhid ei anna valehäireid.

On raske öelda, mis just antiviiruste sellist reaktsiooni põhjustas, kuid kuna fail on tugevalt vananenud (loodud peaaegu aasta tagasi), ei ole mul versiooni 1.6.1 algversiooni säilinud, et faili binaarselt taastada. Siiski on mul olemas viimane versioon 1.6.5 ja arvestades põhiharu muutumatust, on seal tehtud minimaalset muudatust, kuid sellel ei esine sellist valehäiret.
VirusTotal — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert on teavitatud valehäirest; edasiste läbirääkimiste tulemuste ilmnemisel uuendatakse artikkel täieliku olukorra lahendamiseni.

Allikas: habr.com