Comodo는 이유 없이 인증서를 취소합니다.

특히 이 회사가 보안 보증인으로 자리매김하는 경우 대기업이 고객을 속일 것이라고 상상할 수 있습니까? 그래서 최근까지 못했어요. 이 기사는 Comodo에서 코드 서명 인증서를 구매하기 전에 두 번 생각하라는 경고입니다.

저는 업무(시스템 관리)의 일환으로 업무에 적극적으로 사용하는 다양하고 유용한 프로그램을 만들고 동시에 모든 사람에게 무료로 게시합니다. 약 XNUMX년 전에는 프로그램에 서명해야 할 필요가 있었습니다. 그렇지 않으면 모든 클라이언트와 사용자가 서명되지 않았다는 이유로 문제 없이 프로그램을 다운로드할 수 없었습니다. 서명은 오랫동안 일반적인 관행이었으며 프로그램이 아무리 안전하더라도 서명되지 않은 경우 이에 대한 관심이 확실히 높아질 것입니다.

1. 브라우저는 파일이 다운로드되는 빈도에 대한 통계를 수집하며, 서명되지 않은 경우 초기 단계에서는 "만약의 경우"를 차단할 수도 있으며 저장하려면 사용자의 명시적인 확인이 필요할 수도 있습니다. 알고리즘은 다르며 때로는 도메인이 신뢰할 수 있는 것으로 간주되지만 일반적으로 보안을 확인하는 유효한 서명입니다.
2. 다운로드 후 바이러스 백신은 OS 자체가 시작되기 직전에 파일을 검사합니다. 바이러스 백신의 경우 서명도 중요합니다. 이는 virustotal에서 쉽게 확인할 수 있으며, OS의 경우 Win10부터 인증서가 해지된 파일은 즉시 차단되어 Explorer에서 실행할 수 없습니다. 또한 일부 조직에서는 일반적으로 서명되지 않은 코드(시스템 도구를 사용하여 구성)를 실행하는 것이 금지되어 있으며 이는 정당합니다. 모든 일반 개발자는 오랫동안 추가 노력 없이 프로그램을 확인할 수 있는지 확인했습니다.

일반적으로 경험이 없는 사용자에게 인터넷을 최대한 안전하게 만드는 올바른 방향이 선택되었습니다. 그러나 구현 자체는 여전히 이상적이지 않습니다. 단순한 개발자는 단순히 인증서를 얻을 수 없으며, 이 시장을 독점하고 조건을 지시하는 회사로부터 인증서를 구입해야 합니다. 하지만 프로그램이 무료라면 어떨까요? 아무도 신경 쓰지 않습니다. 그런 다음 개발자는 프로그램의 안전성을 지속적으로 입증하거나 사용자의 편의를 희생하거나 인증서를 구매할 수 있습니다. XNUMX년 전, 현재 바다 밑바닥에 사는 StartCom은 수익성이 좋았으며 아무런 문제도 없었습니다. 현재 Comodo는 최소 가격을 제공하지만 밝혀진 바와 같이 개발자는 말 그대로 아무도 아니며 그를 속이는 것이 일반적인 관행입니다.

2018년 중반에 구입한 인증서를 거의 XNUMX년 동안 사용한 후, 갑자기 메일이나 전화로 사전 통지 없이 코모도에서 설명도 없이 인증서를 취소했습니다. 기술 지원이 제대로 작동하지 않습니다. 일주일 동안 응답하지 않을 수도 있지만 여전히 주된 이유를 알아낼 수 있었습니다. 그들은 발급된 인증서가 맬웨어에 의해 서명되었다고 생각했습니다. 그리고 한 가지 이유가 아니라면 이야기는 거기서 끝났을 수 있습니다. 나는 악성 코드를 만든 적이 없으며 내 자체 보호 방법을 통해 내 개인 키를 훔치는 것이 불가능하다고 말할 수 있습니다. Comodo만이 CSR 없이 키를 발급하기 때문에 키 사본을 보유하고 있습니다. 그리고 거의 XNUMX주간의 기본 증거를 찾으려는 시도가 실패했습니다. 보안을 보장한다고 알려진 회사는 규칙 위반에 대한 증거 제공을 단호하게 거부했습니다.

기술 지원팀과의 마지막 채팅에서당신 01:20
"당사는 영업일 기준으로 표준 지원 티켓에 응답하기 위해 노력하고 있습니다."라고 작성하셨습니다. 하지만 나는 지금 일주일 동안 응답을 기다리고 있습니다.

빈슨 01:20
안녕하세요, Sectigo SSL 검증에 오신 것을 환영합니다!
케이스 상태를 확인해보겠습니다. 잠시만 기다려주세요.
확인해 보니 당사 고위 관계자의 악성 코드/사기/피싱으로 인해 주문이 취소되었습니다.

당신 01:28
나는 이것이 당신의 실수라고 확신하므로 증거를 요청합니다.
저는 악성 코드/사기/피싱을 겪은 적이 없습니다.

빈슨 01:30
미안해요, 알렉산더. 다시 확인해 보니 고위 관계자의 악성 코드/사기/피싱으로 인해 주문이 취소되었습니다.

당신 01:31
어떤 파일에서 바이러스를 보셨나요? virustotal 링크가 있나요? 증거가 없기 때문에 귀하의 답변을 받아들이지 않습니다. 나는 이 증명서를 구입하기 위해 돈을 지불했으며 왜 내 돈이 강제로 압수되었는지 알 권리가 있습니다.
증거를 제시할 수 없는 경우 인증서가 부당하게 취소된 것이므로 해당 금액을 반환해야 합니다. 그렇지 않고 증거 없이 인증서를 취소한다면 작업의 의미는 무엇입니까?

빈슨 01:34
나는 당신의 우려를 이해합니다. 악성코드 유포로 인한 코드 서명 인증서가 신고되었습니다. 업계 지침에 따라: 인증서를 취소하려면 인증 기관인 Sectigo가 필요합니다.
또한 환불 정책에 따라 발행일로부터 30일 이후에는 환불이 불가능합니다.

당신 01:35
왜 이것이 실수나 오탐이 아니라고 생각하시나요?

빈슨 01:36
미안해요, 알렉산더. 고위 관계자 보고서에 따르면 맬웨어/사기/피싱으로 인해 명령이 취소되었습니다.

당신 01:37
사과할 필요는 없습니다. 나는 돈을 지불했고 내가 당신의 규칙을 위반했다는 증거를 보고 싶습니다. 간단 해.
내가 XNUMX년 동안 돈을 냈는데 당신은 이유를 대고 증명서도 없고 내 죄에 대한 증거도 없이 나를 떠났습니다.

빈슨 01:43
나는 당신의 우려를 이해합니다. 악성코드 유포로 인한 코드 서명 인증서가 신고되었습니다. 업계 지침에 따라: 인증서를 취소하려면 인증 기관인 Sectigo가 필요합니다.

당신 01:45
당신이 이해하지 못하는 것 같습니다. 증거도 없이 형을 선고하는 법원을 어디서 보셨나요? 당신은 바로 그 일을 했습니다. 저는 악성코드를 받은 적이 없습니다. 그렇다면 왜 증거를 제공하지 않습니까? 인증서 해지가 구체적으로 어떤 증거인가요?

빈슨 01:46
미안해요, 알렉산더. 고위 관계자 보고서에 따르면 맬웨어/사기/피싱으로 인해 명령이 취소되었습니다.

당신 01:47
인증서가 취소된 진짜 이유는 누구에게 알 수 있나요?
대답할 수 없다면 누구에게 연락해야 하는지 알려주세요.

빈슨 01:48
최대한 빨리 답변을 받으실 수 있도록 아래 링크를 사용하여 티켓을 다시 제출해 주시기 바랍니다.
sectigo.com/support-ticket

당신 01:48
고맙습니다.
이 결과는 고립되지 않으며 채팅에서 협상하는 동안 기껏해야 동일한 답변을 하고 티켓에 전혀 답변하지 않거나 답변이 쓸모가 없습니다.

티켓을 다시 만드는 중이에요내 요청:
취소로 이어진 규칙을 위반했다는 증거가 필요합니다. 인증서를 구입했는데 왜 내 돈이 나에게서 압수되는지 알고 싶습니다.
"악성코드/사기/피싱"은 답이 아닙니다! 어떤 파일에서 바이러스를 보셨나요? virustotal 링크가 있나요? 증거를 제공하거나 돈을 돌려주십시오. 기술 지원을 작성하는 데 지쳐서 일주일 이상 기다리고 있습니다.
고맙습니다.

그들의 대답은 다음과 같습니다.
악성코드 유포로 인한 코드 서명 인증서가 신고되었습니다. 업계 지침에 따라: 인증서를 취소하려면 인증 기관인 Sectigo가 필요합니다.
나에게 대답하는 것이 원숭이가 아닐 것이라는 희망은 완전히 사라졌습니다. 흥미로운 다이어그램이 나타납니다.

1. 인증서를 판매하고 있습니다.
2. PayPal을 통해 분쟁을 제기하는 것이 불가능할 정도로 XNUMX개월 이상을 기다려왔습니다.
3. 현재 리콜 중이며 다음 주문을 기다리고 있습니다. 이익!

나는 그들에게 영향을 미칠 수 있는 다른 방법이 없기 때문에 그들의 사기를 공개할 수밖에 없습니다. Sectigo라고도 알려진 Comodo에서 인증서를 구매할 때 동일한 상황이 발생할 수 있습니다.

9월 XNUMX일 업데이트:
오늘 저는 CodeSignCert(인증서를 구매한 회사)에게 응답을 중단한 이후 이 기사에 대한 링크를 통해 공개 토론을 위해 상황을 제기했다고 알렸습니다. 얼마 후 그들은 마침내 프로그램 해시가 보이는 virustotal의 스크린샷을 보냈습니다. EzvitUpd:
바이러스토탈 - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

상황에 대한 나의 평가:
나는 이것이 거짓 긍정이라고 자신있게 말할 수 있습니다. 표지판:

1. 대부분의 경우 일반 명칭입니다.
2. 바이러스 백신 리더의 탐지는 없습니다.

바이러스 백신에서 이러한 반응이 발생한 원인을 정확히 말하기는 어렵지만 파일이 매우 오래되었으므로 (거의 1.6.1 년 전에 생성됨) 파일을 바이너리로 다시 생성하기 위해 저장된 버전 1.6.5의 소스 코드가 없습니다. . 그러나 나는 최신 버전 XNUMX를 가지고 있으며 메인 브랜치의 불변성을 고려하여 최소한의 변경이 이루어졌지만 그러한 오탐은 없습니다.
바이러스토탈 - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert는 오탐지 통보를 받았으며, 추가 협상 결과가 나오면 상황이 완전히 해결될 때까지 기사가 업데이트될 것입니다.

출처 : habr.com