Comodo retire des certificats sans raison

Avez-vous déjà imaginé qu'une grande entreprise pourrait tromper ses clients, surtout si cette entreprise se positionne comme un garant de la sécurité ? Je ne le pouvais pas non plus jusqu'à récemment. Cet article est un avertissement pour vous faire réfléchir plusieurs fois avant d'acheter un certificat de signature de code chez Comodo.

Dans le cadre de mon travail (administration système), je développe divers programmes utiles que j'utilise activement, et que je mets également gratuitement à la disposition de tous ceux qui le souhaitent. Il y a environ trois ans, j'ai ressenti le besoin de signer des programmes, sinon tous mes clients et utilisateurs ne pouvaient pas les télécharger sans problème simplement parce qu'ils n'étaient pas signés. La signature est devenue une pratique normale, peu importe la sécurité du programme, mais si celui-ci n'est pas signé, il attirera forcément une attention accrue :

1. Le navigateur collecte des statistiques sur la fréquence de téléchargement du fichier, et quand il n'est pas signé, il peut même être bloqué « au cas où » au début et demander à l'utilisateur une confirmation explicite pour l'enregistrement. Les algorithmes varient, parfois le domaine est considéré comme de confiance, mais en général, une signature valide est la confirmation de la sécurité.
2. Après le téléchargement, le fichier est analysé par l'antivirus et, juste avant le lancement, par le système d'exploitation lui-même. Pour les antivirus, la signature est aussi importante, il est facile de le vérifier sur virustotal, et en ce qui concerne le système d'exploitation, à partir de Win10, les fichiers avec un certificat révoqué sont immédiatement bloqués et ne peuvent pas être lancés depuis l'explorateur. De plus, dans certaines organisations, l'exécution de code non signé est totalement interdite (cela peut être géré par le système), et c'est justifié — tous les développeurs sérieux ont depuis longtemps veillé à ce que leurs programmes soient vérifiables sans efforts supplémentaires.

Dans l'ensemble, la direction choisie est correcte : faire tout son possible pour rendre Internet aussi sûr que possible pour les utilisateurs inexpérimentés. Cependant, la mise en œuvre est encore loin d'être idéale. Un développeur ordinaire ne peut pas simplement obtenir un certificat, il doit l'acheter auprès d'entreprises qui ont monopolisé ce marché et en dictent les conditions. Mais que se passe-t-il si les programmes sont gratuits ? Cela ne préoccupe personne. Dans ce cas, le développeur a un choix : prouver constamment la sécurité de ses programmes, au détriment de la commodité des utilisateurs, ou acheter un certificat. Trois ans auparavant, StartCom était avantageux, et maintenant il se trouve au fond de l'océan, il n'y avait jamais de problèmes avec eux. Actuellement, Comodo propose le prix le plus bas, mais, comme il s'avère, il y a un piège : pour eux, le développeur est littéralement un inconnu et les arnaquer est une pratique normale.

Après presque un an d'utilisation du certificat que j'ai acheté au milieu de 2018, soudainement, sans préavis par mail ou téléphone, Comodo l'a révoqué sans explication. Leur service client fonctionne mal : ils peuvent ne pas répondre pendant une semaine, mais j'ai tout de même réussi à découvrir la raison principale : ils ont estimé que le certificat délivré avait été signé par un logiciel malveillant. L'histoire pourrait s'arrêter là, mais il y a un mais : je n'ai jamais créé de logiciel malveillant, et mes propres méthodes de protection me permettent d'affirmer qu'il est impossible de voler ma clé privée. Une copie de la clé n'est détenue que par Comodo, car ils les délivrent sans CSR. Et ensuite, près de deux semaines d'efforts infructueux pour obtenir une preuve élémentaire. L'entreprise, qui est censée garantir la protection dans le domaine de la sécurité, a catégoriquement refusé de fournir une preuve de la violation de ses règles.

D'après la dernière discussion avec le support techniqueVous 01:20
Vous avez écrit «Nous nous efforçons de répondre aux demandes de support standard dans la même journée ouvrable.» mais j'attends une réponse depuis une semaine maintenant.

Vinson 01:20
Bonjour, bienvenue chez Sectigo SSL Validation !
Laissez-moi vérifier l'état de votre dossier, veuillez patienter un instant.
J'ai vérifié et la commande a été révoquée en raison de malware/escroquerie/phishing par notre supérieur.

Vous 01:28
Je suis sûr que c'est votre erreur, donc je demande une preuve.
Je n'ai jamais eu de malware/escroquerie/phishing.

Vinson 01:30
Je suis désolé, Alexander. J'ai vérifié deux fois et la commande a été révoquée en raison de malware/escroquerie/phishing par notre supérieur.

Vous 01:31
Dans quel fichier avez-vous vu le virus ? Y a-t-il un lien vers virustotal ? Je n'accepte pas votre réponse car il n'y a aucune preuve. J'ai payé pour ce certificat et j'ai le droit de savoir pourquoi mon argent m'est pris de force.
Si vous ne pouvez pas fournir de preuve, alors le certificat a été révoqué injustement et l'argent doit être remboursé. Sinon, quel est le sens de votre travail si vous révoquez des certificats sans preuve ?

Vinson 01:34
Je comprends votre souci. Le certificat de signature de code a été signalé pour distribution de logiciels malveillants. Selon les directives de l'industrie : Sectigo, en tant qu'autorité de certification, est tenue de révoquer le certificat.
De plus, selon la politique de remboursement, nous ne pourrons pas rembourser après 30 jours à compter de la date d'émission.

Vous 01:35
Pourquoi pensez-vous que ce n'est pas une erreur ou un faux positif ?

Vinson 01:36
Je suis désolé, Alexander. Selon le rapport de nos supérieurs, la commande a été révoquée en raison de logiciels malveillants/escroquerie/phishing.

Vous 01:37
Pas besoin de vous excuser, j'ai payé l'argent et je veux voir la preuve que j'ai violé vos règles. C'est simple.
J'ai payé pour trois ans, puis vous avez trouvé une raison et m'avez laissé sans certificat et sans preuve de ma culpabilité.

Vinson 01:43
Je comprends votre souci. Le certificat de signature de code a été signalé pour distribution de logiciels malveillants. Selon les directives de l'industrie : Sectigo, en tant qu'autorité de certification, est tenue de révoquer le certificat.

Vous 01:45
Il semble que vous ne comprenez pas. Où avez-vous vu le tribunal qui passe une sentence sans preuve ? Vous avez fait exactement cela. Je n'ai jamais eu de logiciels malveillants. Pourquoi ne fournissez-vous pas de preuve s'il y en a une ? Quelle preuve précise la révocation d'un certificat ?

Vinson 01:46
Je suis désolé, Alexander. Selon le rapport de nos supérieurs, la commande a été révoquée en raison de logiciels malveillants/escroquerie/phishing.

Vous 01:47
Qui puis-je contacter pour connaître la véritable raison de la révocation du certificat ?
Si vous ne pouvez pas répondre, dites-moi qui contacter ?

Vinson 01:48
Veuillez soumettre un nouveau ticket en utilisant le lien ci-dessous afin que vous puissiez recevoir une réponse le plus tôt possible.
sectigo.com/support-ticket

Vous 01:48
Merci.
Ce résultat n'est pas isolé, tout au long des négociations dans le chat, au mieux, ils répondent toujours la même chose, soit ils ne répondent pas du tout aux tickets, soit les réponses sont tout aussi inutiles.

Je crée de nouveau un ticketMa demande :
J'exige une preuve que j'ai violé une règle ayant conduit à la révocation. J'ai acheté un certificat et je veux savoir pourquoi mon argent m'a été pris.
"malware/escroquerie/phishing" n'est pas la réponse ! Dans quel fichier avez-vous vu le virus ? Y a-t-il un lien vers virustotal ? Veuillez fournir une preuve ou remboursez-moi, j'en ai marre d'écrire au support technique et j'attends depuis plus d'une semaine.
Merci.

Leur réponse :
Le certificat de signature de code a été signalé pour distribution de logiciels malveillants. Selon les directives de l'industrie : Sectigo, en tant qu'autorité de certification, est tenue de révoquer le certificat.
L'espoir de recevoir une réponse d'un être humain disparaît. Une situation intéressante se dessine :

1. Nous vendons le certificat.
2. Nous attendons plus de six mois, afin qu'il ne soit pas possible d'ouvrir un litige via PayPal.
3. Nous révoquons et attendons la prochaine commande. Profit !

Puisque je n'ai pas d'autres moyens d'action contre eux, je peux seulement rendre public leur escroquerie. En achetant un certificat chez Comodo, qui est en fait Sectigo, vous pourriez vous retrouver dans une situation similaire.

Mise à jour du 9 juin :
Aujourd'hui, j'ai informé CodeSignCert (la société par laquelle j'ai acheté le certificat) que puisqu'ils ont cessé de répondre, j'ai porté la situation à une discussion publique avec un lien vers cet article. Après un certain temps, ils ont enfin envoyé une capture d'écran de virustotal, où le hachage du programme était visible. EzvitUpd:
VirusTotal — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Mon évaluation de la situation :
Je peux dire avec confiance qu'il s'agit d'un faux positif. Signes :

1. La désignation Generic dans la plupart des déclenchements.
2. Absence de déclenchements chez les leaders antivirus.

Il est difficile de dire ce qui a précisément provoqué cette réaction des antivirus, mais étant donné que le fichier est très ancien (créé il y a presque un an), je n'ai pas conservé la source de la version 1.6.1 pour recréer le fichier de manière binaire. Cependant, j'ai la dernière version 1.6.5 et, compte tenu de l'invariabilité de la branche principale, les modifications apportées ont été minimales, mais il n'y a pas de faux déclenchement avec celle-ci :
VirusTotal — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert a été informé du faux déclenchement, la publication sera mise à jour en fonction des résultats des négociations jusqu'à la résolution complète de la situation.

Source : habr.com