🥇कोमोडो ने बिना किसी कारण के प्रमाणपत्र रद्द कर दिया

क्या आप कल्पना कर सकते हैं कि एक बड़ी कंपनी अपने ग्राहकों को धोखा देगी, खासकर यदि यह कंपनी खुद को सुरक्षा के गारंटर के रूप में तैनात करती है? इसलिए मैं हाल तक ऐसा नहीं कर सका। यह लेख कोमोडो से कोड हस्ताक्षर प्रमाणपत्र खरीदने से पहले दो बार सोचने की चेतावनी है।

अपने काम (सिस्टम एडमिनिस्ट्रेशन) के हिस्से के रूप में, मैं विभिन्न उपयोगी प्रोग्राम बनाता हूं जिनका मैं अपने काम में सक्रिय रूप से उपयोग करता हूं, और साथ ही मैं उन्हें सभी के लिए मुफ्त में पोस्ट करता हूं। लगभग तीन साल पहले, कार्यक्रमों पर हस्ताक्षर करने की आवश्यकता थी, अन्यथा मेरे सभी ग्राहक और उपयोगकर्ता उन्हें समस्याओं के बिना डाउनलोड नहीं कर सकते थे, सिर्फ इसलिए कि वे हस्ताक्षरित नहीं थे। हस्ताक्षर करना लंबे समय से एक सामान्य अभ्यास रहा है और कोई भी कार्यक्रम कितना भी सुरक्षित क्यों न हो, लेकिन यदि उस पर हस्ताक्षर नहीं किया गया है, तो निश्चित रूप से उस पर ध्यान बढ़ाया जाएगा:

ब्राउज़र इस पर आँकड़े एकत्र करता है कि कोई फ़ाइल कितनी बार डाउनलोड की जाती है, और जब यह हस्ताक्षरित नहीं होती है, तो प्रारंभिक चरण में इसे "बस मामले में" अवरुद्ध भी किया जा सकता है और सहेजने के लिए उपयोगकर्ता से स्पष्ट पुष्टि की आवश्यकता होती है। एल्गोरिदम अलग-अलग हैं, कभी-कभी डोमेन को विश्वसनीय माना जाता है, लेकिन सामान्य तौर पर यह एक वैध हस्ताक्षर है जो सुरक्षा की पुष्टि करता है।
डाउनलोड करने के बाद, फ़ाइल को एंटीवायरस द्वारा देखा जाता है और ओएस शुरू होने से ठीक पहले। एंटीवायरस के लिए, हस्ताक्षर भी महत्वपूर्ण है, इसे वायरसटोटल पर आसानी से देखा जा सकता है, और जहां तक ओएस की बात है, Win10 से शुरू होकर, निरस्त प्रमाणपत्र वाली फ़ाइल तुरंत अवरुद्ध हो जाती है और एक्सप्लोरर से लॉन्च नहीं की जा सकती है। इसके अलावा, कुछ संगठनों में आम तौर पर अहस्ताक्षरित कोड (सिस्टम टूल्स का उपयोग करके कॉन्फ़िगर किया गया) चलाना प्रतिबंधित है, और यह उचित है - सभी सामान्य डेवलपर्स ने लंबे समय से यह सुनिश्चित किया है कि उनके कार्यक्रमों को अतिरिक्त प्रयास के बिना जांचा जा सके।

सामान्य तौर पर, सही दिशा चुनी गई है - जहां तक संभव हो, अनुभवहीन उपयोगकर्ताओं के लिए इंटरनेट को यथासंभव सुरक्षित बनाना। हालाँकि, कार्यान्वयन स्वयं अभी भी आदर्श से बहुत दूर है। एक साधारण डेवलपर केवल प्रमाणपत्र प्राप्त नहीं कर सकता है; इसे उन कंपनियों से खरीदा जाना चाहिए जिन्होंने इस बाजार पर एकाधिकार कर लिया है और इस पर अपनी शर्तें तय करते हैं। लेकिन क्या होगा यदि कार्यक्रम निःशुल्क हों? किसी को परवाह नहीं। फिर डेवलपर के पास एक विकल्प होता है - अपने कार्यक्रमों की सुरक्षा को लगातार साबित करना, उपयोगकर्ताओं की सुविधा का त्याग करना, या प्रमाणपत्र खरीदना। तीन साल पहले, स्टार्टकॉम, जो अब समुद्र के तल पर रहता है, लाभदायक था; उनके साथ कभी कोई समस्या नहीं हुई। फिलहाल, न्यूनतम कीमत कोमोडो द्वारा प्रदान की जाती है, लेकिन, जैसा कि यह पता चला है, एक मुश्किल है - उनके लिए डेवलपर वस्तुतः कोई नहीं है और उसे धोखा देना सामान्य अभ्यास है।

2018 के मध्य में मेरे द्वारा खरीदे गए प्रमाणपत्र का उपयोग करने के लगभग एक वर्ष के बाद, अचानक, मेल या फोन द्वारा पूर्व सूचना के बिना, कोमोडो ने बिना स्पष्टीकरण के इसे रद्द कर दिया। उनका तकनीकी समर्थन अच्छी तरह से काम नहीं करता है - वे एक सप्ताह तक जवाब नहीं दे सकते हैं, लेकिन वे फिर भी मुख्य कारण का पता लगाने में कामयाब रहे - उन्होंने माना कि जारी किए गए प्रमाणपत्र पर मैलवेयर द्वारा हस्ताक्षर किए गए थे। और कहानी यहीं ख़त्म हो सकती थी, अगर एक चीज़ के लिए नहीं - मैंने कभी मैलवेयर नहीं बनाया है, और मेरी अपनी सुरक्षा विधियाँ मुझे यह कहने की अनुमति देती हैं कि मेरी निजी कुंजी चुराना असंभव है। केवल कोमोडो के पास कुंजी की एक प्रति है क्योंकि वे उन्हें सीएसआर के बिना जारी करते हैं। और फिर - प्रारंभिक प्रमाण खोजने के लगभग दो सप्ताह के असफल प्रयास। कंपनी, जो कथित तौर पर सुरक्षा सुरक्षा की गारंटी देती है, ने अपने नियमों के उल्लंघन का सबूत देने से साफ इनकार कर दिया।

तकनीकी सहायता के साथ अंतिम बातचीत सेआप 01:20
आपने लिखा है "हम उसी व्यावसायिक दिन के भीतर मानक समर्थन टिकटों का जवाब देने का प्रयास करते हैं।" लेकिन मैं अब एक सप्ताह से प्रतिक्रिया का इंतजार कर रहा हूं।

विंसन 01:20
नमस्ते, सेक्टिगो एसएसएल सत्यापन में आपका स्वागत है!
मुझे आपके मामले की स्थिति जांचने दीजिए, कृपया एक मिनट के लिए रुकें।
मैंने जाँच की है और हमारे उच्च अधिकारी द्वारा मैलवेयर/धोखाधड़ी/फ़िशिंग के कारण आदेश रद्द कर दिया गया है।

आप 01:28
मुझे यकीन है कि यह आपकी गलती है, इसलिए मैं सबूत मांगता हूं।
मुझे कभी मैलवेयर/धोखाधड़ी/फ़िशिंग का सामना नहीं करना पड़ा।

विंसन 01:30
मुझे क्षमा करें, अलेक्जेंडर। मैंने दोबारा जांच की है और हमारे उच्च अधिकारी द्वारा मैलवेयर/धोखाधड़ी/फ़िशिंग के कारण आदेश रद्द कर दिया गया है।

आप 01:31
आपने किस फ़ाइल में वायरस देखा? क्या वायरसटोटल से कोई लिंक है? मैं आपके उत्तर को स्वीकार नहीं करता क्योंकि इसमें कोई प्रमाण नहीं है। मैंने इस प्रमाणपत्र के लिए पैसे दिए और मुझे यह जानने का अधिकार है कि मेरे पैसे मुझसे जबरदस्ती क्यों लिए गए।
यदि आप सबूत नहीं दे सकते हैं, तो प्रमाणपत्र गलत तरीके से रद्द कर दिया गया है और पैसे वापस करने होंगे। अन्यथा बिना सबूत के प्रमाणपत्र निरस्त करने पर आपके काम का क्या मतलब?

विंसन 01:34
मै तुम्हारी चिन्ता समझता हूँ। कोड हस्ताक्षर प्रमाणपत्र में मैलवेयर वितरित करने की सूचना दी गई है। उद्योग दिशानिर्देशों के अनुसार: एक प्रमाणपत्र प्राधिकारी के रूप में सेक्टिगो को प्रमाणपत्र रद्द करना आवश्यक है।
साथ ही रिफंड नीति के अनुसार, हम जारी होने की तारीख से 30 दिनों के बाद रिफंड नहीं कर पाएंगे।

आप 01:35
आपको ऐसा क्यों लगता है कि यह कोई ग़लती या ग़लत सकारात्मक बात नहीं है?

विंसन 01:36
मुझे क्षमा करें, अलेक्जेंडर। हमारे उच्च अधिकारियों की रिपोर्ट के अनुसार, मैलवेयर/धोखाधड़ी/फ़िशिंग के कारण आदेश रद्द कर दिया गया है।

आप 01:37
माफ़ी माँगने की कोई ज़रूरत नहीं है, मैंने पैसे चुका दिए हैं और मैं सबूत देखना चाहता हूँ कि मैंने आपके नियमों का उल्लंघन किया है। यह आसान है।
मैंने तीन साल तक भुगतान किया, फिर आप एक कारण लेकर आए और मुझे बिना प्रमाण पत्र और मेरे अपराध के सबूत के बिना छोड़ दिया।

विंसन 01:43
मै तुम्हारी चिन्ता समझता हूँ। कोड हस्ताक्षर प्रमाणपत्र में मैलवेयर वितरित करने की सूचना दी गई है। उद्योग दिशानिर्देशों के अनुसार: एक प्रमाणपत्र प्राधिकारी के रूप में सेक्टिगो को प्रमाणपत्र रद्द करना आवश्यक है।

आप 01:45
ऐसा लगता है कि तुम्हें समझ नहीं आया. आपने वह अदालत कहाँ देखी जो बिना सबूत के सज़ा सुनाती है? आपने वैसा ही किया. मेरे पास कभी भी मैलवेयर नहीं था. यदि ऐसा है तो आप इसका प्रमाण क्यों नहीं देते? प्रमाणपत्र निरस्तीकरण क्या विशिष्ट प्रमाण है?

विंसन 01:46
मुझे क्षमा करें, अलेक्जेंडर। हमारे उच्च अधिकारियों की रिपोर्ट के अनुसार, मैलवेयर/धोखाधड़ी/फ़िशिंग के कारण आदेश रद्द कर दिया गया है।

आप 01:47
प्रमाणपत्र रद्द करने का वास्तविक कारण मैं कौन पता कर सकता हूँ?
यदि आप उत्तर नहीं दे सकते, तो मुझे बताएं कि किससे संपर्क करना है?

विंसन 01:48
कृपया नीचे दिए गए लिंक का उपयोग करके दोबारा टिकट सबमिट करें ताकि आपको यथाशीघ्र प्रतिक्रिया मिल सके।
Sectigo.com/support-ticket

आप 01:48
धन्यवाद।
यह परिणाम अलग-थलग नहीं है, चैट में बातचीत के हर समय, सबसे अच्छा, वे एक ही बात का उत्तर देते हैं, टिकटों का या तो उत्तर ही नहीं दिया जाता है, या उत्तर उतने ही बेकार होते हैं।

मैं फिर से टिकट बना रहा हूंमेरा अनुरोध:
मुझे सबूत चाहिए कि मैंने एक नियम का उल्लंघन किया जिसके कारण निरस्तीकरण हुआ। मैंने एक प्रमाणपत्र खरीदा है और जानना चाहता हूं कि मुझसे मेरे पैसे क्यों लिए गए।
"मैलवेयर/धोखाधड़ी/फ़िशिंग" उत्तर नहीं है! आपने किस फ़ाइल में वायरस देखा? क्या वायरसटोटल से कोई लिंक है? कृपया सबूत दें या पैसे लौटा दें, मैं तकनीकी सहायता लिखकर थक गया हूं और एक सप्ताह से अधिक समय से इंतजार कर रहा हूं।
धन्यवाद।

उनका उत्तर:
कोड हस्ताक्षर प्रमाणपत्र में मैलवेयर वितरित करने की सूचना दी गई है। उद्योग दिशानिर्देशों के अनुसार: एक प्रमाणपत्र प्राधिकारी के रूप में सेक्टिगो को प्रमाणपत्र रद्द करना आवश्यक है।
यह आशा कि यह बंदर नहीं है जो मुझे उत्तर देगा, पूरी तरह से नष्ट हो गई है। एक दिलचस्प चित्र उभरता है:

हम एक प्रमाणपत्र बेचते हैं.
हम छह महीने से अधिक समय से इंतजार कर रहे हैं ताकि पेपैल के माध्यम से विवाद खोलना असंभव हो।
हम वापस बुला रहे हैं और अगले आदेश का इंतजार कर रहे हैं।' लाभ!

चूँकि मेरे पास उन्हें प्रभावित करने का कोई अन्य तरीका नहीं है, इसलिए मैं केवल उनकी धोखाधड़ी को सार्वजनिक कर सकता हूँ। कोमोडो, जिसे सेक्टिगो भी कहा जाता है, से प्रमाणपत्र खरीदते समय आपको उसी स्थिति का सामना करना पड़ सकता है।

अपडेट 9 जून:
आज मैंने CodeSignCert (वह कंपनी जिसके माध्यम से मैंने प्रमाणपत्र खरीदा था) को सूचित किया कि चूंकि उन्होंने जवाब देना बंद कर दिया है, इसलिए मैंने इस लेख के लिंक के साथ स्थिति को सार्वजनिक चर्चा के लिए लाया है। कुछ समय बाद, उन्होंने अंततः वायरसटोटल का एक स्क्रीनशॉट भेजा, जहाँ प्रोग्राम हैश दिखाई दे रहा था EzvitUpd:
वायरसटोटल - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

स्थिति का मेरा आकलन:
मैं विश्वास के साथ कह सकता हूं कि यह एक गलत सकारात्मक बात है। संकेत:

अधिकांश मामलों में पदनाम सामान्य।
एंटीवायरस नेताओं से कोई पता नहीं चला।

यह कहना मुश्किल है कि वास्तव में एंटीवायरस की ओर से ऐसी प्रतिक्रिया का कारण क्या था, लेकिन चूंकि फ़ाइल बहुत पुरानी है (यह लगभग एक साल पहले बनाई गई थी), मेरे पास फ़ाइल को बाइनरी रीक्रिएट करने के लिए संस्करण 1.6.1 का स्रोत कोड सहेजा नहीं गया था . हालाँकि, मेरे पास नवीनतम संस्करण 1.6.5 है, और मुख्य शाखा की अपरिवर्तनीयता को देखते हुए, वहाँ न्यूनतम परिवर्तन किए गए थे, लेकिन ऐसी कोई झूठी सकारात्मकता नहीं है:
वायरसटोटल - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert को गलत सकारात्मक के बारे में सूचित कर दिया गया है; एक बार बातचीत के आगे के परिणाम उपलब्ध होने के बाद, स्थिति पूरी तरह से हल होने तक लेख को अपडेट किया जाएगा।

स्रोत: www.habr.com

कोमोडो बिना किसी कारण के प्रमाणपत्र रद्द कर देता है

एक टिप्पणी जोड़ें उत्तर रद्द