קומודו מבטל תעודות ללא סיבה

האם הייתם מתארים לעצמכם שחברה גדולה תרמה את לקוחותיה, במיוחד אם החברה הזו תמצב את עצמה כערובה לביטחון? אז לא יכולתי עד לאחרונה. מאמר זה הוא אזהרה לחשוב פעמיים לפני רכישת אישור חתימת קוד מ-Comodo.

במסגרת עבודתי (ניהול מערכת) אני מכין תוכנות שימושיות שונות בהן אני משתמש באופן פעיל בעבודה שלי, ובמקביל אני מפרסם אותן בחינם לכולם. לפני כשלוש שנים היה צורך לחתום על תוכניות, אחרת לא כל הלקוחות והמשתמשים שלי יכלו להוריד אותן ללא בעיות רק בגלל שלא היו חתומות. חתימה היא כבר מזמן נוהג רגיל ולא משנה עד כמה תוכנית מאובטחת, אבל אם היא לא נחתמת, בהחלט תהיה תשומת לב מוגברת לכך:

1. הדפדפן אוסף נתונים סטטיסטיים על תדירות ההורדה של קובץ, וכאשר הוא אינו חתום, בשלב הראשוני ניתן אף לחסום אותו "למקרה" ולדרוש אישור מפורש מהמשתמש לשמירה. האלגוריתמים שונים, לפעמים התחום נחשב לאמין, אבל באופן כללי מדובר בחתימה תקפה שמאשרת אבטחה.
2. לאחר ההורדה, הקובץ נבדק על ידי האנטי וירוס ומיד לפני הפעלת מערכת ההפעלה עצמה. עבור אנטי וירוסים, החתימה חשובה גם היא, ניתן לראות זאת בקלות ב-virustotal, ולגבי מערכת ההפעלה, החל מ-Win10, קובץ עם אישור שבוטל נחסם מיד ולא ניתן להפעיל אותו מהאקספלורר. בנוסף, בארגונים מסוימים חל איסור בדרך כלל להפעיל קוד לא חתום (מוגדר באמצעות כלי מערכת), וזה מוצדק - כל המפתחים הרגילים דאגו מזמן שניתן לבדוק את התוכנות שלהם ללא מאמץ נוסף.

באופן כללי, הכיוון הנכון נבחר - במידת האפשר, מה שהופך את האינטרנט בטוח ככל האפשר למשתמשים חסרי ניסיון. עם זאת, היישום עצמו עדיין רחוק מלהיות אידיאלי. מפתח פשוט לא יכול פשוט להשיג תעודה, יש לרכוש אותו מחברות שעשו מונופול על השוק הזה ולהכתיב את התנאים שלהן עליו. אבל מה אם התוכניות בחינם? לאף אחד לא אכפת. אז למפתח יש ברירה - להוכיח כל הזמן את הבטיחות של התוכניות שלו, להקריב את הנוחות של המשתמשים, או לקנות תעודה. לפני שלוש שנים, StartCom, שחיה כיום בקרקעית האוקיינוס, הייתה רווחית; מעולם לא היו בעיות איתם. כרגע, מחיר המינימום מסופק על ידי קומודו, אבל, כפי שמסתבר, יש מלכוד - עבורם המפתח הוא ממש אפס ולרמות בו היא נוהג רגיל.

לאחר כמעט שנה של שימוש בתעודה שרכשתי באמצע 2018, לפתע, ללא הודעה מוקדמת בדואר או בטלפון, ביטלה אותה קומודו ללא הסבר. התמיכה הטכנית שלהם לא עובדת טוב - הם אולי לא יגיבו במשך שבוע, אבל הם בכל זאת הצליחו לגלות את הסיבה העיקרית - הם חשבו שהתעודה שהונפק נחתם על ידי תוכנה זדונית. והסיפור היה יכול להסתיים שם, אלמלא דבר אחד – מעולם לא יצרתי תוכנות זדוניות, ושיטות ההגנה שלי מאפשרות לי לומר שאי אפשר לגנוב את המפתח הפרטי שלי. רק ל-Comodo יש עותק של המפתח כי הם מנפיקים אותם ללא CSR. ואז - כמעט שבועיים של ניסיונות לא מוצלחים לברר את ההוכחה היסודית. החברה, שמבטיחה כביכול הגנה ביטחונית, סירבה בתוקף לספק ראיות להפרת הכללים שלה.

מהצ'אט האחרון עם תמיכה טכניתאתה 01:20
כתבת "אנו שואפים להגיב לכרטיסי תמיכה סטנדרטיים באותו יום עסקים." אבל אני מחכה לתגובה כבר שבוע.

וינסון 01:20
היי, ברוכים הבאים ל-Sectigo SSL Validation!
תן לי לבדוק את מצב התיק שלך, בבקשה חכה דקה.
בדקתי וההזמנה בוטלה עקב תוכנה זדונית/הונאה/דיוג על ידי הפקיד הבכיר שלנו.

אתה 01:28
אני בטוח שזו טעות שלך, אז אני מבקש הוכחה.
מעולם לא היו לי תוכנות זדוניות/הונאה/דיוג.

וינסון 01:30
אני מצטער, אלכסנדר. בדקתי פעמיים וההזמנה בוטלה עקב תוכנה זדונית/הונאה/דיוג על ידי הפקיד הבכיר שלנו.

אתה 01:31
באיזה קובץ ראית את הווירוס? יש קישור לvirustotal? איני מקבל את תשובתך כי אין בה הוכחה. שילמתי כסף עבור תעודה זו וזכותי לדעת מדוע הכסף שלי נלקח ממני בכוח.
אם אתה לא יכול לספק הוכחה, אז האישור בוטל שלא בצדק ועליך להחזיר את הכסף. אחרת, מה המשמעות של עבודתך אם אתה מבטל תעודות ללא הוכחה?

וינסון 01:34
אני מבין את הדאגה שלך. אישור חתימת הקוד דווח על הפצת תוכנות זדוניות. בהתאם להנחיות התעשייה: Sectigo כרשות אישורים נדרשת לבטל את האישור.
כמו כן, בהתאם למדיניות ההחזרים, לא נוכל להחזיר לאחר 30 יום מתאריך ההנפקה.

אתה 01:35
למה אתה חושב שזו לא טעות או חיובי שגוי?

וינסון 01:36
אני מצטער, אלכסנדר. לפי דוח הפקידים הגבוהים שלנו, הצו בוטל עקב תוכנה זדונית/הונאה/דיוג.

אתה 01:37
אין צורך להתנצל, שילמתי את הכסף ואני רוצה לראות הוכחה שהפרתי את הכללים שלך. זה פשוט.
שילמתי שלוש שנים, ואז הבאת סיבה והשארת אותי בלי תעודה ובלי הוכחה לאשמתי.

וינסון 01:43
אני מבין את הדאגה שלך. אישור חתימת הקוד דווח על הפצת תוכנות זדוניות. בהתאם להנחיות התעשייה: Sectigo כרשות אישורים נדרשת לבטל את האישור.

אתה 01:45
נראה שאתה לא מבין. איפה ראית את בית המשפט שגזר את גזר הדין ללא הוכחה? עשית בדיוק את זה. מעולם לא היו לי תוכנות זדוניות. למה אתה לא מביא הוכחה אם כן? איזו הוכחה ספציפית היא שלילת תעודה?

וינסון 01:46
אני מצטער, אלכסנדר. לפי דוח הפקידים הגבוהים שלנו, הצו בוטל עקב תוכנה זדונית/הונאה/דיוג.

אתה 01:47
למי אוכל לברר את הסיבה האמיתית לביטול התעודה?
אם אתה לא יכול לענות, תגיד לי למי לפנות?

וינסון 01:48
אנא שלח שוב כרטיס באמצעות הקישור הבא כדי שתקבל תשובה מוקדם ככל האפשר.
sectigo.com/support-ticket

אתה 01:48
תודה רבה לך.
התוצאה הזו לא מבודדת, כל זמן המשא ומתן בצ'אט, במקרה הטוב, הם עונים אותו דבר, או שלא עונים לכרטיסים בכלל, או שהתשובות חסרות תועלת באותה מידה.

אני שוב יוצר כרטיסהבקשה שלי:
אני דורש הוכחה שהפרתי כלל שהוביל לביטול. קניתי תעודה ורוצה לדעת למה הכסף שלי נלקח ממני.
"תוכנה זדונית/הונאה/דיוג" היא לא התשובה! באיזה קובץ ראית את הווירוס? יש קישור לvirustotal? נא לספק הוכחה או להחזיר את הכסף, נמאס לי לכתוב תמיכה טכנית וחיכיתי כבר יותר משבוע.
תודה רבה לך.

התשובה שלהם:
אישור חתימת הקוד דווח על הפצת תוכנות זדוניות. בהתאם להנחיות התעשייה: Sectigo כרשות אישורים נדרשת לבטל את האישור.
התקווה שזה לא הקוף שיענה לי אבודה לגמרי. תרשים מעניין עולה:

1. אנחנו מוכרים תעודה.
2. אנחנו מחכים כבר יותר מחצי שנה כך שאי אפשר לפתוח מחלוקת דרך PayPal.
3. אנחנו נזכרים ומחכים להזמנה הבאה. רווח!

מכיוון שאין לי שיטות אחרות להשפיע עליהם, אני יכול רק לפרסם את ההונאה שלהם בפומבי. ברכישת תעודה מקומודו, המכונה גם Sectigo, אתה עלול להיתקל באותו מצב.

עדכון 9 ביוני:
היום הודעתי ל-CodeSignCert (החברה שדרכה רכשתי את התעודה) שמאז שהפסיקו להגיב, העליתי את המצב לדיון פומבי עם קישור למאמר זה. לאחר זמן מה, הם סוף סוף שלחו צילום מסך של virustotal, שבו ה-hash של התוכנית היה גלוי EzvitUpd:
VirusTotal - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

הערכת המצב שלי:
אני יכול לומר בביטחון שמדובר בחיוב שגוי. שלטים:

1. ייעוד גנרי ברוב המקרים.
2. אין זיהויים ממובילי אנטי-וירוס.

קשה לומר מה בדיוק גרם לתגובה כזו מהאנטי-וירוסים, אבל מכיוון שהקובץ מאוד מיושן (הוא נוצר לפני כמעט שנה), לא שמרתי את קוד המקור של גרסה 1.6.1 כדי ליצור מחדש את הקובץ בינארי. . עם זאת, יש לי את הגרסה העדכנית ביותר 1.6.5, ובהתחשב בחוסר השינוי של הענף הראשי, בוצעו בו שינויים מינימליים, אך אין תוצאות כוזבות כאלה:
VirusTotal - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert קיבל הודעה על החיוב השגוי; ברגע שתוצאות נוספות של המשא ומתן יהיו זמינות, המאמר יעודכן עד שהמצב ייפתר במלואו.

מקור: www.habr.com