El tudtad volna képzelni, hogy egy nagyvállalat becsapja az ügyfeleit, különösen, ha ez a vállalat a biztonság garanciájaként pozicionálja magát? Én sem hittem el egészen a közelmúltig. Ez a cikk figyelmeztetés, hogy először tízszer gondold át, mielőtt tanúsítványt vásárolnál a kód aláírásához a Comodótól.
A munkám során (rendszergazdaság) különféle hasznos programokat készítek, amelyeket aktívan használok a munkámban, és ezeket ingyenesen elérhetővé teszem mindenki számára. Körülbelül három évvel ezelőtt szükségessé vált, hogy aláírjam a programokat, különben nem minden ügyfelem és felhasználóm tudta problémamentesen letölteni őket, csak azért, mert nincsenek aláírva. Már régóta a digitális aláírás normának számít, és nem számít, mennyire biztonságos a program, de ha nincs aláírva, akkor biztosan fokozott figyelmet kap.
- A böngésző statisztikát gyűjt arról, milyen gyakran töltődik le a fájl, és amikor az nem aláírt, akkor kezdetben akár blokkolva is lehet, 'minden esetre', és megköveteli a felhasználótól, hogy kifejezetten megerősítse a mentést. Különböző algoritmusok léteznek, néha a domain is megbízhatónak számít, de összességében a valíd aláírás a biztonság megerősítése.
- A letöltés után a fájlt az antivírus ellenőrzi, és közvetlenül a futtatás előtt az operációs rendszer magát is. Az antivírusok számára az aláírás szintén fontos, ezt könnyen nyomon követhetjük a virustotal-on, ami pedig az operációs rendszert illeti, a Win10-től kezdve a visszavont tanúsítvánnyal rendelkező fájlokat azonnal blokkolják, és nem lehet őket elindítani a fájlkezelőből. Ezenkívül néhány szervezetnél teljesen tilos az aláíratlan kód futtatása (a rendszer eszközeivel beállítható), és ez érthető: minden normális fejlesztő már régóta gondoskodott arról, hogy programjaik ellenőrizhetőek legyenek további erőfeszítések nélkül.
Összességében a megfelelő irányt választották - a lehetőségekhez mérten az internetet a lehető legbiztonságosabbá tenni a tapasztalatlan felhasználók számára. Azonban a megvalósítás messze van az ideáltól. Egy átlagos fejlesztő nem szerezhet egyszerűen tanúsítványt, azt meg kell vásárolni a cégektől, amelyek monopolhelyzetben vannak ezen a piacon, és ők diktálják a saját feltételeiket. De mi van, ha a programok ingyenesek? Senkit sem érdekel. Eközben a fejlesztő választás elé áll, hogy folyamatosan bizonyítsa programjai biztonságát, feláldozva a felhasználók kényelmét, vagy tanúsítványt vásárol. Három évvel ezelőtt a StartCom volt a nyereséges lehetőség, amely most az óceán fenekén van, velük sosem volt probléma. Jelenleg a legkisebb árat a Comodo ajánlja, de mint kiderült, van egy buktató - számukra a fejlesztő szó szerint senki, és becsapni őt - normális gyakorlat.
Sokkal később, majdnem egy évnyi tanúsítvány használat után, amelyet 2018 közepén vásároltam, váratlanul, előzetes email vagy telefonos értesítés nélkül, a Comodo visszavonta azt indoklás nélkül. A technikai támogatásuk gyenge - akár egy hétig is eltarthat, mire válaszolnak, de a fő okot sikerült megismerni - meggondolták, hogy a kiadott tanúsítványt rosszindulatú szoftver írta alá. Ezt az ügyet lezárhatná, ha nem lenne egy de - sosem készítettem rosszindulatú szoftvert, és saját védelmi módszereim azt állítják, hogy a titkos kulcsomat nem lehet ellopni. A kulcs másolata csak a Comodonál van, mert ők adják ki a CSR nélkül. Aztán - majdnem két hét sikertelen próbálkozás az alapvető bizonyíték megszerzésére. Egy vállalat, amely állítólag garantálja a biztonsági védelem terén, határozottan elutasította, hogy bizonyítékot szolgáltasson a szabályaik megsértésére.
Az utolsó csevegés a technikai támogatássalTe 01:20
Te írtad: «Igyekszünk a standard támogatási jegyekre ugyanazon a munkanapon válaszolni.» de már egy hete várok válaszra.
Vinson 01:20
Szia, Üdvözöljük a Sectigo SSL Validációban!
Engedd meg, hogy ellenőrizzem az ügyed állapotát, kérlek tartsd meg egy percig.
Ellenőriztem és a rendelés visszavonásra került a malware/csalás/halászati kísérlet miatt a magasabb hivatalunk által.
Te 01:28
Biztos vagyok benne, hogy ez a tévedésed, ezért bizonyítékot kérek.
Sosem volt malware/csalás/halászati kísérlet.
Vinson 01:30
Sajnálom, Alexander. Kétszer is ellenőriztem, és a rendelés visszavonásra került a malware/csalás/halászati kísérlet miatt a magasabb hivatalunk által.
Te 01:31
Melyik fájlban láttad a vírust? Van link a virustotalhoz? Nem fogadom el a válaszodat, mert nincs bizonyíték benne. Pénzt fizettem ezért a tanúsítványért, és jogom van tudni, miért veszik el erőszakkal a pénzem.
Ha nem tud bizonyítékot szolgáltatni, akkor a tanúsítványt igazságtalanul vonták vissza, és vissza kell téríteni a pénzt. Különben mi értelme a munkájának, ha bizonyíték nélkül vonja vissza a tanúsítványokat?
Vinson 01:34
Megértem az aggodalmát. A kód aláírási tanúsítványt kártevő terjesztésével jelentették. Az iparági irányelvek szerint: a Sectigo mint tanúsítványkiadó köteles visszavonni a tanúsítványt.
A visszatérítési politika szerint 30 nappal a kiadás dátuma után nem tudunk visszatérítést biztosítani.
You 01:35
Miért gondolja, hogy ez nem hiba vagy téves pozitív?
Vinson 01:36
Sajnálom, Alexander. A magasabb hivatalnokok jelentése szerint a rendelést kártevő/fraudálás/phishing miatt vonták vissza.
You 01:37
Nincs mit sajnálni, kifizettem a pénzt, és szeretném látni a bizonyítékot arra, hogy megsértettem a szabályaikat. Ez egyszerű.
Három évre fizettem, aztán kitaláltak egy okot, és tanúsítvány nélkül, bizonyíték nélkül hagytak.
Vinson 01:43
Megértem az aggodalmát. A kód aláírási tanúsítványt kártevő terjesztésével jelentették. Az iparági irányelvek szerint: a Sectigo mint tanúsítványkiadó köteles visszavonni a tanúsítványt.
You 01:45
Úgy tűnik, nem érti. Hol látta, hogy a bíróság bizonyíték nélkül hozza meg az ítéletet? Ön ezt tette. Soha nem volt kártevőm. Miért nem szolgáltat bizonyítékot, ha van? Milyen konkrét bizonyíték a tanúsítvány visszavonása?
Vinson 01:46
Sajnálom, Alexander. A magasabb hivatalnokok jelentése szerint a rendelést kártevő/fraudálás/phishing miatt vonták vissza.
You 01:47
Kitől tudhatom meg a tanúsítvány visszavonásának valós okát?
Ha nem tud válaszolni, mondja meg, kit kell keresnem?
Vinson 01:48
Kérem, küldjön be újra egy jegyet az alábbi linken, hogy a lehető leghamarabb választ kapjon.
You 01:48
Köszönöm.
Ez az eredmény nem egyedi; chatben a tárgyalások során a legjobb esetben is mindig ugyanazokra a válaszokra számíthatunk, a jegyekre pedig vagy egyáltalán nem reagálnak, vagy a válaszok annyira haszontalanok.
Újra jegyet hozok létreA kérésem:
Bizonyítékot igénylek arra, hogy megsértettem egy szabályt, ami a visszavonáshoz vezetett. Vásároltam egy tanúsítványt, és szeretném tudni, miért vették el tőlem a pénzemet.
A „kártevő/fraudálás/phishing” nem válasz! Melyik fájlban látta a vírust? Van link a virustotal-ra? Kérem, szolgáltasson bizonyítékot vagy térítse vissza a pénzt; elegem van a technikai támogatás írogatásából, és több mint egy hete várok.
Köszönöm.
Az ő válaszuk:
A kód aláírási tanúsítványt kártevő terjesztésével jelentették. Az iparági irányelvek szerint: a Sectigo mint tanúsítványkiadó köteles visszavonni a tanúsítványt.
A remény, hogy nem egy majom válaszol, végleg eltűnik. Érdekes séma bontakozik ki:
- Eladjuk a tanúsítványt.
- Várunk több mint fél évig, hogy a PayPal ne lehessen vitát nyitni.
- Visszavonjuk és várunk a következő megrendelésre. Profit!
Mivel nincs más mód a befolyásolásukra, csak annyit tehetek, hogy nyilvánosságra hozom a csalásukat. Ha a Comodo-tól, azaz a Sectigo-tól vásárol tanúsítványt, ilyen helyzettel szembesülhet.
Frissítés június 9-én:
Ma értesítettem a CodeSignCert-et (a céget, amelyen keresztül vásároltam a tanúsítványt), hogy mivel már nem válaszolnak, a helyzetet nyilvános vitára bocsátom, hivatkozva erre a cikkre. Néhány idő múlva végre elküldtek egy képernyőképet a virustotal-ról, ahol látható volt a program hash-je :
VirusTotal —
A helyzetem értékelése:
Biztosan mondhatom, hogy ez egy téves riasztás. Jelek:
- A Generic designation in most triggers.
- No triggers from leading antivirus programs.
It's hard to say what exactly caused such a reaction from antivirus programs, but since the file is very outdated (created almost a year ago), I no longer have the source for version 1.6.1 to recreate the file binary. However, I have the latest version 1.6.5, and considering the unchanged main branch, minimal changes were made there, but there are no false positives for it:
VirusTotal —
CodeSignCert has been notified of the false positive, and the article will be updated with the full resolution of the situation after further negotiation results.
Forrás: habr.com
