Vai varat iedomÄties, ka liels uzÅÄmums maldinÄtu savus klientus, Ä«paÅ”i, ja Å”is uzÅÄmums sevi pozicionÄ kÄ droŔības garantu? TÄpÄc es nevarÄju vÄl nesen. Å is raksts ir brÄ«dinÄjums padomÄt pirms koda parakstÄ«Å”anas sertifikÄta iegÄdes no Comodo.
Sava darba ietvaros (sistÄmu administrÄÅ”ana) veidoju dažÄdas noderÄ«gas programmas, kuras aktÄ«vi izmantoju pats savÄ darbÄ, un tajÄ paÅ”Ä laikÄ ievietoju tÄs bez maksas visiem. ApmÄram pirms trim gadiem radÄs nepiecieÅ”amÄ«ba parakstÄ«t programmas, pretÄjÄ gadÄ«jumÄ ne visi mani klienti un lietotÄji varÄja tÄs bez problÄmÄm lejupielÄdÄt tikai tÄpÄc, ka tÄs nebija parakstÄ«tas. ParakstÄ«Å”anÄs jau sen ir ierasta prakse un lai cik droÅ”a bÅ«tu programma, bet, ja tÄ netiks parakstÄ«ta, tam noteikti tiks pievÄrsta pastiprinÄta uzmanÄ«ba:
- PÄrlÅ«kprogramma apkopo statistiku par to, cik bieži fails tiek lejupielÄdÄts, un, kad tas nav parakstÄ«ts, sÄkotnÄjÄ posmÄ to var pat bloÄ·Ät ākatram gadÄ«jumamā un pieprasÄ«t skaidru lietotÄja apstiprinÄjumu, lai saglabÄtu. Algoritmi ir dažÄdi, dažreiz domÄns tiek uzskatÄ«ts par uzticamu, bet kopumÄ tas ir derÄ«gs paraksts, kas apliecina droŔību.
- PÄc lejupielÄdes failu apskata antivÄ«russ un tieÅ”i pirms paÅ”as OS palaiÅ”anas. AntivÄ«rusiem svarÄ«gs ir arÄ« paraksts, to var viegli redzÄt uz virustotal, un, kas attiecas uz OS, sÄkot ar Win10, fails ar atsauktu sertifikÄtu tiek uzreiz bloÄ·Äts un to nevar palaist no Explorer. TurklÄt dažÄs organizÄcijÄs parasti ir aizliegts palaist neparakstÄ«tu kodu (konfigurÄts, izmantojot sistÄmas rÄ«kus), un tas ir pamatoti - visi parastie izstrÄdÄtÄji jau sen ir pÄrliecinÄjuÅ”ies, ka viÅu programmas var pÄrbaudÄ«t bez papildu pÅ«lÄm.
KopumÄ izvÄlÄts pareizais virziens ā iespÄju robežÄs padarot internetu pÄc iespÄjas droÅ”Äku nepieredzÄjuÅ”iem lietotÄjiem. TomÄr pati Ä«stenoÅ”ana joprojÄm ir tÄlu no ideÄla. VienkÄrÅ”s izstrÄdÄtÄjs nevar vienkÄrÅ”i iegÅ«t sertifikÄtu, tas ir jÄiegÄdÄjas no uzÅÄmumiem, kas ir monopolizÄjuÅ”i Å”o tirgu un diktÄ tajÄ savus noteikumus. Bet ko tad, ja programmas ir bezmaksas? Nevienu neinteresÄ. Tad izstrÄdÄtÄjam ir izvÄle - pastÄvÄ«gi pierÄdÄ«t savu programmu droŔību, upurÄjot lietotÄju ÄrtÄ«bas, vai iegÄdÄties sertifikÄtu. Pirms trim gadiem StartCom, kas tagad dzÄ«vo okeÄna dzelmÄ, strÄdÄja ar peļÅu, ar tiem nekad nav bijis nekÄdu problÄmu. Å obrÄ«d minimÄlo cenu nodroÅ”ina Comodo, taÄu, kÄ izrÄdÄs, tur ir ÄÄ·is - viÅiem izstrÄdÄtÄjs ir burtiski neviens un viÅu krÄpt ir normÄla prakse.
PÄc gandrÄ«z gada lietoÅ”anas sertifikÄta, kuru iegÄdÄjos 2018. gada vidÅ«, pÄkÅ”Åi, bez iepriekÅ”Äja brÄ«dinÄjuma pa pastu vai tÄlruni, Comodo to bez paskaidrojumiem atsauca. ViÅu tehniskais atbalsts nedarbojas labi - nedÄļu viÅi var neatbildÄt, taÄu viÅiem tomÄr izdevÄs noskaidrot galveno iemeslu - viÅi uzskatÄ«ja, ka izsniegto sertifikÄtu ir parakstÄ«jusi ļaunprÄtÄ«ga programmatÅ«ra. Un ar to stÄsts varÄja beigties, ja ne viena lieta - es nekad neesmu radÄ«jis ļaunprogrammatÅ«ru, un manas paÅ”as aizsardzÄ«bas metodes ļauj man teikt, ka manu privÄto atslÄgu nozagt nav iespÄjams. Tikai Comodo ir atslÄgas kopija, jo viÅi tÄs izsniedz bez CSR. Un tad - gandrÄ«z divas nedÄļas neveiksmÄ«gi mÄÄ£inÄjumi noskaidrot elementÄro pierÄdÄ«jumu. UzÅÄmums, kas it kÄ garantÄ droŔības aizsardzÄ«bu, kategoriski atteicÄs sniegt pierÄdÄ«jumus par savu noteikumu pÄrkÄpÅ”anu.
No pÄdÄjÄs tÄrzÄÅ”anas ar tehnisko atbalstuTu 01:20
JÅ«s esat rakstÄ«jis: āMÄs cenÅ”amies atbildÄt uz standarta atbalsta biļetÄm vienas darbadienas laikÄ.ā bet jau nedÄļu gaidu atbildi.
Vinsons 01:20
Sveiki! Laipni lÅ«dzam Sectigo SSL validÄcijÄ!
Ä»aujiet man pÄrbaudÄ«t jÅ«su lietas statusu, lÅ«dzu, uzgaidiet minÅ«ti.
Esmu pÄrbaudÄ«jis, un pasÅ«tÄ«jums ir atsaukts mÅ«su augstÄkÄs amatpersonas ļaunprÄtÄ«gas programmatÅ«ras/krÄpÅ”anas/pikŔķerÄÅ”anas dÄļ.
Tu 01:28
Esmu pÄrliecinÄts, ka tÄ ir jÅ«su kļūda, tÄpÄc es lÅ«dzu pierÄdÄ«jumus.
Man nekad nav bijusi ļaunprÄtÄ«ga programmatÅ«ra/krÄpÅ”ana/pikŔķerÄÅ”ana.
Vinsons 01:30
Es atvainojos, Aleksandr. Esmu vÄlreiz pÄrbaudÄ«jis pasÅ«tÄ«jumu, un mÅ«su augstÄkÄ amatpersona ļaunprÄtÄ«gas programmatÅ«ras/krÄpÅ”anas/pikŔķerÄÅ”anas dÄļ ir atsaukts.
Tu 01:31
KurÄ failÄ jÅ«s redzÄjÄt vÄ«rusu? Vai ir saite uz virustotal? Es nepieÅemu jÅ«su atbildi, jo tajÄ nav pierÄdÄ«jumu. Es samaksÄju naudu par Å”o sertifikÄtu, un man ir tiesÄ«bas zinÄt, kÄpÄc mana nauda tiek atÅemta ar varu.
Ja nevarat sniegt pierÄdÄ«jumus, sertifikÄts tika atsaukts negodÄ«gi un nauda ir jÄatdod. CitÄdi kÄda jÄga tavam darbam, ja bez pierÄdÄ«jumiem atsauc sertifikÄtus?
Vinsons 01:34
Es saprotu jÅ«su bažas. Par koda parakstÄ«Å”anas sertifikÄtu ir ziÅots par ļaunprÄtÄ«gas programmatÅ«ras izplatÄ«Å”anu. SaskaÅÄ ar nozares vadlÄ«nijÄm: Sectigo kÄ sertifikÄcijas iestÄdei ir jÄatsauc sertifikÄts.
ArÄ« saskaÅÄ ar atmaksas politiku mÄs nevarÄsim atmaksÄt naudu pÄc 30 dienÄm no izdoÅ”anas datuma.
Tu 01:35
KÄpÄc, jÅ«suprÄt, tÄ nav kļūda vai kļūdaini pozitÄ«vs rezultÄts?
Vinsons 01:36
Es atvainojos, Aleksandr. SaskaÅÄ ar mÅ«su augstÄko amatpersonu ziÅojumu rÄ«kojums ir atsaukts ļaunprÄtÄ«gas programmatÅ«ras/krÄpÅ”anas/pikŔķerÄÅ”anas dÄļ.
Tu 01:37
Nav nepiecieÅ”ams atvainoties, es samaksÄju naudu un vÄlos redzÄt pierÄdÄ«jumus, ka esmu pÄrkÄpis jÅ«su noteikumus. Tas ir vienkÄrÅ”i.
Es samaksÄju trÄ«s gadus, tad tu izdomÄji iemeslu un atstÄji mani bez izziÅas un bez manas vainas pierÄdÄ«jumiem.
Vinsons 01:43
Es saprotu jÅ«su bažas. Par koda parakstÄ«Å”anas sertifikÄtu ir ziÅots par ļaunprÄtÄ«gas programmatÅ«ras izplatÄ«Å”anu. SaskaÅÄ ar nozares vadlÄ«nijÄm: Sectigo kÄ sertifikÄcijas iestÄdei ir jÄatsauc sertifikÄts.
Tu 01:45
Å Ä·iet, ka tu nesaproti. Kur jÅ«s redzÄjÄt tiesu, kas pieÅem spriedumu bez pierÄdÄ«jumiem? JÅ«s to darÄ«jÄt. Man nekad nav bijusi ļaunprÄtÄ«ga programmatÅ«ra. KÄpÄc jÅ«s nesniedzat pierÄdÄ«jumus, ja tÄ ir? KÄds konkrÄts pierÄdÄ«jums ir sertifikÄta atsaukÅ”ana?
Vinsons 01:46
Es atvainojos, Aleksandr. SaskaÅÄ ar mÅ«su augstÄko amatpersonu ziÅojumu rÄ«kojums ir atsaukts ļaunprÄtÄ«gas programmatÅ«ras/krÄpÅ”anas/pikŔķerÄÅ”anas dÄļ.
Tu 01:47
Kam es varu uzzinÄt patieso sertifikÄta atsaukÅ”anas iemeslu?
Ja nevarat atbildÄt, pastÄstiet man, ar ko sazinÄties?
Vinsons 01:48
LÅ«dzu, iesniedziet biļeti vÄlreiz, izmantojot tÄlÄk esoÅ”o saiti, lai jÅ«s saÅemtu atbildi pÄc iespÄjas ÄtrÄk.
Tu 01:48
Paldies.
Å is rezultÄts nav izolÄts, visu sarunu laiku ÄatÄ labÄkajÄ gadÄ«jumÄ atbild vienu un to paÅ”u, uz biļetÄm vai nu neatbild vispÄr, vai arÄ« atbildes ir tikpat bezjÄdzÄ«gas.
Es atkal veidoju biļetiMans lūgums:
Es pieprasu pierÄdÄ«jumus, ka esmu pÄrkÄpis noteikumu, kas noveda pie atsaukÅ”anas. Es nopirku sertifikÄtu un vÄlos uzzinÄt, kÄpÄc man tiek atÅemta nauda.
"Ä»aunprÄtÄ«ga programmatÅ«ra/krÄpÅ”ana/pikŔķerÄÅ”ana" nav risinÄjums! KurÄ failÄ jÅ«s redzÄjÄt vÄ«rusu? Vai ir saite uz virustotal? LÅ«dzu, iesniedziet pierÄdÄ«jumus vai atdodiet naudu, man ir apnicis rakstÄ«t tehnisko atbalstu un gaidu vairÄk nekÄ nedÄļu.
Paldies.
ViÅu atbilde:
Par koda parakstÄ«Å”anas sertifikÄtu ir ziÅots par ļaunprÄtÄ«gas programmatÅ«ras izplatÄ«Å”anu. SaskaÅÄ ar nozares vadlÄ«nijÄm: Sectigo kÄ sertifikÄcijas iestÄdei ir jÄatsauc sertifikÄts.
CerÄ«ba, ka tas nav mÄrkaÄ·is, kas man atbildÄs, ir pilnÄ«bÄ zudusi. ParÄdÄs interesanta diagramma:
- PÄrdodam sertifikÄtu.
- MÄs esam gaidÄ«juÅ”i vairÄk nekÄ seÅ”us mÄneÅ”us, lai nebÅ«tu iespÄjams uzsÄkt strÄ«du caur PayPal.
- Atsaucam un gaidÄm nÄkamo pasÅ«tÄ«jumu. PeļÅa!
TÄ kÄ man nav citu paÅÄmienu, kÄ viÅus ietekmÄt, varu tikai publiskot viÅu krÄpÅ”anu. IegÄdÄjoties sertifikÄtu no Comodo, kas pazÄ«stams arÄ« kÄ Sectigo, jÅ«s varat saskarties ar tÄdu paÅ”u situÄciju.
AtjauninÄjums 9. jÅ«nijÄ:
Å odien es paziÅoju CodeSignCert (uzÅÄmumam, caur kuru es iegÄdÄjos sertifikÄtu), ka, tÄ kÄ viÅi pÄrstÄja reaÄ£Ät, esmu izvirzÄ«jis situÄciju publiskai apsprieÅ”anai, pievienojot saiti uz Å”o rakstu. PÄc kÄda laika viÅi beidzot nosÅ«tÄ«ja virustotal ekrÄnuzÅÄmumu, kurÄ bija redzams programmas hash :
VirusTotal ā
Mans situÄcijas novÄrtÄjums:
Ar pÄrliecÄ«bu varu teikt, ka tas ir viltus pozitÄ«vs rezultÄts. PazÄ«mes:
- ApzÄ«mÄjums VispÄrÄjs vairumÄ gadÄ«jumu.
- AntivÄ«rusu vadÄ«tÄji nav konstatÄjuÅ”i nekÄdus atklÄjumus.
GrÅ«ti pateikt, kas tieÅ”i izraisÄ«ja Å”Ädu antivÄ«rusu reakciju, taÄu, tÄ kÄ fails ir ļoti novecojis (izveidots gandrÄ«z pirms gada), man nebija saglabÄts 1.6.1 versijas pirmkods, lai failu binÄri izveidotu no jauna. . TomÄr man ir jaunÄkÄ versija 1.6.5, un, Åemot vÄrÄ galvenÄs filiÄles nemainÄ«gumu, tajÄ tika veiktas minimÄlas izmaiÅas, taÄu nav Å”Ädu viltus pozitÄ«vu rezultÄtu:
VirusTotal ā
CodeSignCert ir informÄts par viltus pozitÄ«vu rezultÄtu; tiklÄ«dz bÅ«s pieejami turpmÄki sarunu rezultÄti, raksts tiks atjauninÄts, lÄ«dz situÄcija tiks pilnÄ«bÄ atrisinÄta.
Avots: www.habr.com