Comodo ги отповикува сертификатите без причина

Можете ли да замислите дека една голема компанија би ги измамила своите клиенти, особено ако оваа компанија се позиционира како гарант за безбедност? Така, до неодамна не можев. Оваа статија е предупредување да размислите двапати пред да купите сертификат за потпишување код од Comodo.

Како дел од мојата работа (системска администрација) правам разни корисни програми кои активно ги користам во сопствената работа, а воедно ги објавувам бесплатно за секого. Пред околу три години имаше потреба од потпишување програми, инаку не сите мои клиенти и корисници можеа да ги преземат без проблем само затоа што не беа потпишани. Потпишувањето одамна е нормална практика и без разлика колку е безбедна програмата, но доколку не се потпише, дефинитивно ќе има зголемено внимание на тоа:

1. Прелистувачот собира статистика за тоа колку често се презема датотека и кога не е потпишана, во почетната фаза може дури и да се блокира „за секој случај“ и да бара експлицитна потврда од корисникот за зачувување. Алгоритмите се различни, понекогаш доменот се смета за доверлив, но генерално тоа е валиден потпис што ја потврдува безбедноста.
2. По преземањето, датотеката се разгледува од антивирусот и веднаш пред да започне самиот ОС. За антивирусите, потписот е исто така важен, тоа лесно се гледа на virustotal, а што се однесува до ОС, почнувајќи од Win10, датотеката со отповикан сертификат веднаш се блокира и не може да се стартува од Explorer. Покрај тоа, во некои организации генерално е забрането да се извршува непотпишан код (конфигуриран со системски алатки), и тоа е оправдано - сите нормални програмери долго време се погрижија нивните програми да можат да се проверат без дополнителен напор.

Генерално, избрана е вистинската насока - колку што е можно, интернетот да биде што е можно побезбеден за неискусните корисници. Сепак, самата имплементација сè уште е далеку од идеална. Едноставен развивач не може едноставно да добие сертификат; тој мора да биде купен од компании кои го монополизирале овој пазар и да ги диктираат своите услови за него. Но, што ако програмите се бесплатни? На никој не му е гајле. Тогаш инвеститорот има избор - постојано да ја докажува безбедноста на своите програми, жртвувајќи ја удобноста на корисниците или да купи сертификат. Пред три години, StartCom, кој сега живее на дното на океанот, беше профитабилен, никогаш немало никакви проблеми со нив. Во моментов, минималната цена е обезбедена од Comodo, но, како што се испостави, има финта - за нив инвеститорот е буквално никој и мамењето со него е нормална практика.

По речиси една година користење на сертификатот што го купив во средината на 2018 година, одеднаш, без претходна најава по пошта или телефон, Comodo го укина без објаснување. Нивната техничка поддршка не работи добро - можеби нема да одговорат една недела, но сепак успеале да ја дознаат главната причина - сметале дека издадениот сертификат е потпишан од малициозен софтвер. И приказната можеше да заврши таму, ако не за една работа - никогаш не сум создал малициозен софтвер, а моите методи за заштита ми дозволуваат да кажам дека е невозможно да ми го украдам приватниот клуч. Само Comodo има копија од клучот бидејќи ги издава без ООП. И тогаш - речиси две недели неуспешни обиди да се дознае елементарниот доказ. Компанијата, која наводно гарантира безбедносна заштита, категорично одби да обезбеди докази за прекршување на нивните правила.

Од последниот разговор со техничка поддршкаВие 01:20
Напишавте „Се стремиме да одговориме на стандардните билети за поддршка во истиот работен ден“. но јас чекам одговор веќе една недела.

Винсон 01:20
Здраво, Добредојдовте во валидација на SSL Sectigo!
Дозволете ми да го проверам статусот на вашиот случај, ве молам подржете малку.
Проверив и нарачката е отповикана поради малициозен софтвер/измама/фишинг од нашиот повисок службеник.

Вие 01:28
Сигурен сум дека тоа е твоја грешка, затоа барам доказ.
Никогаш не сум имал малициозен софтвер/измама/фишинг.

Винсон 01:30
Жал ми е, Александар. Проверив двапати и нарачката е отповикана поради малициозен софтвер/измама/фишинг од нашиот повисок службеник.

Вие 01:31
Во која датотека го видовте вирусот? Дали има врска до virustotal? Не го прифаќам твојот одговор бидејќи нема никаков доказ во него. За овој сертификат платив пари и имам право да знам зошто насилно ми се одземени парите.
Ако не можете да обезбедите доказ, тогаш сертификатот е отповикан неправедно и мора да ги вратите парите. Инаку, која е смислата на вашата работа ако одземате сертификати без доказ?

Винсон 01:34
Ја разбирам вашата загриженост. Сертификатот за потпишување код е пријавен за дистрибуција на малициозен софтвер. Според индустриските упатства: Сектиго како орган за сертификати е должен да го отповика сертификатот.
Исто така, според политиката за рефундирање, нема да можеме да ги вратиме парите по 30 дена од датумот на издавање.

Вие 01:35
Зошто мислите дека ова не е грешка или лажно позитивно?

Винсон 01:36
Жал ми е, Александар. Според извештаите на нашите повисоки службеници, нарачката е отповикана поради малициозен софтвер/измама/фишинг.

Вие 01:37
Нема потреба да се извинувам, ги платив парите и сакам да видам доказ дека ги прекршив твоите правила. Едноставно е.
Платив три години, па ти смисли причина и ме остави без потврда и без доказ за мојата вина.

Винсон 01:43
Ја разбирам вашата загриженост. Сертификатот за потпишување код е пријавен за дистрибуција на малициозен софтвер. Според индустриските упатства: Сектиго како орган за сертификати е должен да го отповика сертификатот.

Вие 01:45
Изгледа не разбираш. Каде го виде судот што ја носи казната без доказ? Ти го направи токму тоа. Никогаш не сум имал малициозен софтвер. Зошто не даваш доказ ако е? Кој конкретен доказ е отповикување на сертификатот?

Винсон 01:46
Жал ми е, Александар. Според извештаите на нашите повисоки службеници, нарачката е отповикана поради малициозен софтвер/измама/фишинг.

Вие 01:47
Кој можам да ја дознаам вистинската причина за одземање на сертификатот?
Ако не можеш да одговориш, кажи ми со кого да контактирам?

Винсон 01:48
Ве молиме поднесете билет повторно користејќи ја врската подолу за да добиете одговор што е можно порано.
sectigo.com/support-ticket

Вие 01:48
Ви благодариме.
Овој резултат не е изолиран, цело време на преговори во чатот, во најдобар случај, одговараат исто, билетите или воопшто не се одговорени, или одговорите се исто толку бескорисни.

Повторно создавам билетМоето барање:
Барам доказ дека прекршив правило кое доведе до отповикување. Купив сертификат и сакам да знам зошто ми се земени парите од мене.
„Малвер/измама/фишинг“ не е одговорот! Во која датотека го видовте вирусот? Дали има врска до virustotal? Ве молам дајте доказ или вратете ги парите, уморен сум од пишување техничка поддршка и чекам повеќе од една недела.
Ви благодариме.

Нивниот одговор:
Сертификатот за потпишување код е пријавен за дистрибуција на малициозен софтвер. Според индустриските упатства: Сектиго како орган за сертификати е должен да го отповика сертификатот.
Надежта дека не е мајмунот што ќе ми одговори е целосно изгубена. Се појавува интересен дијаграм:

1. Продаваме сертификат.
2. Чекаме повеќе од шест месеци за да е невозможно да се отвори спор преку PayPal.
3. Се потсетуваме и ја чекаме следната нарачка. Профит!

Бидејќи немам други методи за влијание врз нив, можам само да ја објавам нивната измама. Кога купувате сертификат од Comodo, познат и како Sectigo, може да наидете на истата ситуација.

Ажурирање на 9 јуни:
Денеска го известив CodeSignCert (компанијата преку која го купив сертификатот) дека откако престанаа да реагираат, ја ставив ситуацијата на јавна дискусија со линк до овој напис. По некое време, тие конечно испратија скриншот на virustotal, каде што беше видлив хашот на програмата EzvitUpd:
Вирус Вкупно - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Моја проценка за ситуацијата:
Можам со сигурност да кажам дека ова е лажно позитивно. Знаци:

1. Ознака Генеричка во повеќето случаи.
2. Нема откривања од антивирусни лидери.

Тешко е да се каже што точно предизвика таква реакција од антивирусите, но бидејќи датотеката е многу застарена (направена е пред речиси една година), не го имав зачувано изворниот код на верзијата 1.6.1 за бинарно да ја рекреирам датотеката . Сепак, ја имам најновата верзија 1.6.5 и со оглед на непроменливоста на главната гранка, таму беа направени минимални промени, но такви лажни позитиви нема:
Вирус Вкупно - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert е известен за лажно позитивното; штом ќе станат достапни дополнителни резултати од преговорите, статијата ќе се ажурира додека ситуацијата не се реши целосно.

Извор: www.habr.com