코모도, 이유 없이 인증서 취소

특히 이 회사가 자신을 보안 보증인으로 내세운다면, 대기업이 고객을 속일 수 있다고 생각하시나요? 저도 최근까지는 그럴 수 없었습니다. 이 글은 코모도에서 코드 서명 인증서를 구매하기 전에 열 번 생각하라는 경고입니다.

저는 제 직업(시스템 관리) 때문에 업무에 적극적으로 사용하는 다양하고 유용한 프로그램을 만들고, 이를 원하는 사람들에게 무료로 게시합니다. 약 3년 전, 프로그램에 서명이 필요했는데, 서명이 없었다는 이유만으로 모든 고객과 사용자가 문제없이 프로그램을 다운로드할 수 없었기 때문입니다. 서명은 오랫동안 일반적인 관행이었으며, 프로그램이 아무리 안전하더라도 서명이 되어 있지 않으면 반드시 더 많은 관심을 받게 될 것입니다.

1. 브라우저는 파일이 얼마나 자주 다운로드되는지에 대한 통계를 수집하고, 서명되지 않은 경우 "혹시 모르니" 초기 단계에서 차단하고 사용자에게 저장을 명시적으로 확인하도록 요구할 수도 있습니다. 알고리즘은 다양하고, 때로는 도메인 자체가 신뢰할 수 있는 것으로 간주되기도 하지만 일반적으로 보안을 확인하는 유효한 서명입니다.
2. 파일을 다운로드한 후, 바이러스 백신 프로그램에서 검사를 거치고, 실행 직전에 OS 자체에서 검사를 실시합니다. 바이러스 백신의 경우 서명도 중요한데, 이는 Virustotal에서 쉽게 추적할 수 있으며, OS의 경우 Win10부터 인증서가 취소된 파일은 즉시 차단되고 Explorer에서 실행할 수 없습니다. 또한 일부 조직에서는 일반적으로 서명되지 않은 코드(시스템 도구에서 구성)의 실행을 금지합니다. 이는 모든 일반 개발자가 추가 작업 없이도 프로그램을 검사할 수 있도록 오랫동안 주의를 기울여 왔기 때문에 당연한 일입니다.

전반적으로, 경험이 부족한 사용자에게도 인터넷을 최대한 안전하게 만드는 것이 올바른 방향입니다. 하지만 구현 자체는 아직 이상적이지 않습니다. 단순한 개발자라도 간단히 인증서를 얻을 수는 없습니다. 이 시장을 독점하고 자사의 조건을 지시하는 회사로부터 구매해야 합니다. 하지만 프로그램이 무료라면 어떨까? 아무도 신경 쓰지 않아요. 그러면 개발자는 사용자의 편의성을 희생하고도 프로그램의 보안을 지속적으로 입증할 것인지, 아니면 인증서를 구매할 것인지 선택해야 합니다. 지금은 바다 밑에서 운영되고 있는 StartCom은 3년 전만 해도 수익을 냈으며, 아무런 문제도 없었습니다. 현재 최소 가격은 코모도가 제공하고 있지만, 한 가지 문제가 있습니다. 코모도에게 개발자는 말 그대로 아무것도 아니며, 그를 속이는 것은 일반적인 관행입니다.

2018년 중반에 구매한 인증서를 거의 XNUMX년 동안 사용했는데, 코모도에서 아무런 사전 통지 없이 메일이나 전화로 아무런 설명 없이 갑자기 인증서를 취소했습니다. 기술 지원이 부족해서 일주일 동안 답변을 주지 않을 수도 있지만, 그래도 주된 이유를 알아낼 수 있었습니다. 그들은 발급된 인증서가 맬웨어에 의해 서명된 것이라고 생각했습니다. 그리고 이야기가 여기서 끝나겠지만, 한 가지 중요한 점이 있습니다. 저는 맬웨어를 만든 적이 없으며, 제가 만든 보호 방법을 사용하면 개인 키를 훔치는 것이 불가능하다고 말할 수 있습니다. 코모도는 CSR 없이 키를 발급하기 때문에 코모도만이 키 사본을 보유하고 있습니다. 그리고 나서 - 기본적인 증거를 찾아내려는 시도가 거의 XNUMX주 동안이나 실패로 끝났습니다. 보안을 보장한다는 회사는 규정 위반에 대한 증거 제시를 단호히 거부했습니다.

기술 지원과의 마지막 대화에서당신 01:20
"우리는 표준 지원 티켓에 대해 같은 영업일 내에 답변하려고 노력합니다."라고 작성하셨습니다. 하지만 저는 일주일 동안 답변을 기다리고 있었습니다.

빈슨 01:20
안녕하세요, Sectigo SSL Validation에 오신 것을 환영합니다!
사건 상태를 확인해 보겠습니다. 잠시만 기다려 주세요.
확인해 본 결과, 상위 관리자의 악성 소프트웨어/사기/피싱으로 인해 주문이 취소되었습니다.

당신 01:28
저는 이것이 당신의 실수라고 확신하므로 증거를 요구합니다.
저는 악성 소프트웨어/사기/피싱을 경험한 적이 없습니다.

빈슨 01:30
미안해요, 알렉산더. 두 번 확인했는데, 상위 관리자의 악성 소프트웨어/사기/피싱으로 인해 주문이 취소되었습니다.

당신 01:31
어떤 파일에서 바이러스를 보셨나요? Virustotal에 대한 링크가 있나요? 나는 당신의 답변을 받아들이지 않습니다. 그 안에 증거가 없기 때문입니다. 저는 이 증명서를 위해 돈을 지불했고, 왜 제 돈이 강제로 빼앗겼는지 알 권리가 있습니다.
증빙서류를 제출할 수 없는 경우, 해당 증명서는 부당하게 취소되었으며, 돈을 반환해야 합니다. 그렇지 않으면, 증거도 없이 인증서를 취소한다면 당신의 일이 무슨 의미가 있겠습니까?

빈슨 01:34
귀하의 우려를 이해합니다. 코드 서명 인증서가 악성 소프트웨어를 배포하는 것으로 보고되었습니다. 업계 지침에 따라 인증 기관인 Sectigo는 인증서를 폐지해야 합니다.
환불 정책에 따라 발행일로부터 30일이 지나면 환불이 불가능합니다.

당신 01:35
이것이 실수나 거짓 양성이 아니라고 생각하는 이유는 무엇입니까?

빈슨 01:36
미안해요, 알렉산더. 상위 공무원의 보고에 따르면, 악성 소프트웨어/사기/피싱으로 인해 명령이 취소되었습니다.

당신 01:37
사과할 필요 없어요. 저는 돈을 냈고, 제가 규칙을 어겼다는 증거를 보고 싶어요. 간단하죠.
저는 3년 동안 돈을 냈는데, 당신은 이유를 늘어놓고는 저에게 증명서도, 제가 죄를 지었다는 증거도 없이 내버려 두었습니다.

빈슨 01:43
귀하의 우려를 이해합니다. 코드 서명 인증서가 악성 소프트웨어를 배포하는 것으로 보고되었습니다. 업계 지침에 따라 인증 기관인 Sectigo는 인증서를 폐지해야 합니다.

당신 01:45
당신은 이해하지 못하는 것 같습니다. 증거도 없이 형을 선고하는 법원을 어디서 보셨나요? 당신은 정말 그렇게 했습니다. 저는 악성코드에 감염된 적이 없습니다. 그렇다면 왜 증거를 제시하지 않으시나요? 인증서 폐지란 구체적으로 어떤 증거를 말하는가요?

빈슨 01:46
미안해요, 알렉산더. 상위 공무원의 보고에 따르면, 악성 소프트웨어/사기/피싱으로 인해 명령이 취소되었습니다.

당신 01:47
인증서가 취소된 진짜 이유를 누구에게서 알아볼 수 있나요?
답변할 수 없다면, 누구에게 연락해야 할지 알려주세요.

빈슨 01:48
아래 링크를 사용하여 다시 티켓을 제출하시면 최대한 빨리 답변을 받으실 수 있습니다.
sectigo.com/support-ticket

당신 01:48
고맙습니다.
이 결과는 고립된 것이 아닙니다. 채팅에서 이루어지는 모든 협상에서 최상의 답은 항상 같습니다. 티켓에 대한 답변이 전혀 없거나 답변이 전혀 쓸모없는 경우도 있습니다.

다시 티켓을 생성하고 있습니다.내 요청:
취소로 이어진 규정을 위반했다는 증거가 필요합니다. 저는 증서를 구매했는데, 왜 제 돈이 빠져나갔는지 알고 싶습니다.
"악성코드/사기/피싱"은 답이 아닙니다! 어떤 파일에서 바이러스를 보셨나요? Virustotal에 대한 링크가 있나요? 증빙서류를 제출하거나 돈을 돌려주세요. 기술 지원에 글을 쓰는 게 지겨워서 일주일 이상 기다리고 있습니다.
고맙습니다.

그들의 대답은 다음과 같습니다.
코드 서명 인증서가 악성 소프트웨어를 배포하는 것으로 보고되었습니다. 업계 지침에 따라 인증 기관인 Sectigo는 인증서를 폐지해야 합니다.
나에게 대답하는 사람이 원숭이가 아닐 것이라는 희망은 완전히 사라졌다. 흥미로운 계획이 등장했습니다.

1. 우리는 인증서를 판매합니다.
2. 우리는 PayPal을 통해 분쟁이 제기되기까지 6개월 이상 기다려 왔습니다.
3. 우리는 다음 주문을 회수하고 기다리고 있습니다. 이익!

그들에게 영향을 미칠 수 있는 다른 수단이 없으므로, 그들의 사기 행위를 공개하는 수밖에 없습니다. 코모도(Sectigo)에서 인증서를 구매할 때도 동일한 상황에 직면할 수 있습니다.

9월 XNUMX일 업데이트:
오늘 저는 CodeSignCert(제가 인증서를 구매한 회사)에 더 이상 응답이 없으므로 이 기사의 링크를 첨부하여 이 상황을 공개 토론에 올리겠다고 통보했습니다. 얼마 후, 그들은 마침내 프로그램 해시가 보이는 바이러스토탈의 스크린샷을 보냈습니다. 에즈빗업드:
바이러스 토탈 — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

상황에 대한 나의 평가:
이것은 거짓 양성이라고 자신 있게 말할 수 있습니다. 손짓:

1. 대부분의 경우 일반적인 명칭입니다.
2. 주요 바이러스 백신 소프트웨어에서 감지된 사항이 없습니다.

바이러스 백신 프로그램이 이런 반응을 보인 정확한 이유를 말하기는 어렵지만, 해당 파일이 매우 오래되었기 때문에(거의 1.6.1년 전에 만들어졌음) 1.6.5 버전의 소스 코드가 없어서 파일 바이너리를 재생성할 수 없었습니다. 하지만 저는 최신 버전인 XNUMX를 사용하고 있으며, 메인 브랜치의 불변성을 고려하면 변경 사항은 미미했지만, 그런 거짓 양성 반응은 없었습니다.
바이러스 토탈 — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert에서는 거짓 양성 결과가 통보되었으며, 상황이 완전히 해결될 때까지 추가 협상 결과가 나오면 이 문서가 업데이트됩니다.

출처 : habr.com