कोमोडोले कुनै कारण बिना प्रमाणपत्रहरू रद्द गर्दछ

के तपाईं कल्पना गर्न सक्नुहुन्छ कि एक ठूलो कम्पनीले आफ्ना ग्राहकहरूलाई धोका दिनेछ, विशेष गरी यदि यो कम्पनीले आफूलाई सुरक्षाको ग्यारेन्टरको रूपमा राख्छ? त्यसैले मैले हालसम्म सकिन। यो लेख Comodo बाट कोड हस्ताक्षर प्रमाणपत्र खरिद गर्नु अघि दुई पटक सोच्न चेतावनी हो।

मेरो काम (प्रणाली प्रशासन) को एक भागको रूपमा, म विभिन्न उपयोगी कार्यक्रमहरू बनाउँछु जुन म सक्रिय रूपमा आफ्नै काममा प्रयोग गर्छु, र एकै समयमा म तिनीहरूलाई सबैका लागि निःशुल्क पोस्ट गर्छु। लगभग तीन वर्ष पहिले, प्रोग्रामहरू साइन गर्न आवश्यक थियो, अन्यथा मेरा सबै ग्राहकहरू र प्रयोगकर्ताहरूले तिनीहरूलाई हस्ताक्षर नगरेको कारणले तिनीहरूलाई समस्या बिना डाउनलोड गर्न सक्दैनन्। हस्ताक्षर लामो समयदेखि एक सामान्य अभ्यास भएको छ र कार्यक्रम जतिसुकै सुरक्षित भए पनि, तर यदि यो हस्ताक्षर गरिएको छैन भने, त्यहाँ निश्चित रूपमा ध्यान बढाइनेछ:

1. ब्राउजरले फाइल कति पटक डाउनलोड हुन्छ भन्ने तथ्याङ्क सङ्कलन गर्दछ, र जब यो हस्ताक्षर गरिएको छैन, प्रारम्भिक चरणमा यसलाई "केसमा मात्र" अवरुद्ध गर्न सकिन्छ र बचत गर्न प्रयोगकर्ताबाट स्पष्ट पुष्टि चाहिन्छ। एल्गोरिदमहरू फरक छन्, कहिलेकाहीँ डोमेनलाई विश्वसनीय मानिन्छ, तर सामान्यतया यो एक मान्य हस्ताक्षर हो जसले सुरक्षा पुष्टि गर्दछ।
2. डाउनलोड गरिसकेपछि, फाइललाई एन्टिभाइरसद्वारा हेरिन्छ र तुरुन्तै ओएस सुरु हुनु अघि। एन्टिभाइरसहरूको लागि, हस्ताक्षर पनि महत्त्वपूर्ण छ, यो सजिलैसँग भाइरसटोटलमा देख्न सकिन्छ, र ओएसको लागि, Win10 बाट सुरु हुँदै, रद्द गरिएको प्रमाणपत्रको साथ फाइल तुरुन्तै अवरुद्ध हुन्छ र एक्सप्लोररबाट सुरू गर्न सकिँदैन। थप रूपमा, केही संस्थाहरूमा यो सामान्यतया हस्ताक्षर नगरिएको कोड (प्रणाली उपकरणहरू प्रयोग गरेर कन्फिगर गरिएको) चलाउन निषेध गरिएको छ, र यो जायज छ - सबै सामान्य विकासकर्ताहरूले लामो समयदेखि सुनिश्चित गरेका छन् कि तिनीहरूका कार्यक्रमहरू अतिरिक्त प्रयास बिना जाँच गर्न सकिन्छ।

सामान्यतया, सही दिशा छनौट गरिएको छ - सम्भव भएसम्म, अनुभवहीन प्रयोगकर्ताहरूको लागि इन्टरनेटलाई सकेसम्म सुरक्षित बनाउन। तर, कार्यान्वयन आफैमा अझै पनि आदर्शबाट टाढा छ। एक साधारण विकासकर्ताले मात्र प्रमाणपत्र प्राप्त गर्न सक्दैन; यो कम्पनीहरूबाट किन्नुपर्दछ जसले यस बजारलाई एकाधिकार बनाएका छन् र यसमा आफ्ना सर्तहरू हुकुम गर्छन्। तर के कार्यक्रम नि: शुल्क छन् भने? कसैले वास्ता गरदैन। त्यसपछि विकासकर्तासँग विकल्प छ - लगातार आफ्ना कार्यक्रमहरूको सुरक्षा प्रमाणित गर्न, प्रयोगकर्ताहरूको सुविधाको बलिदान, वा प्रमाणपत्र किन्न। तीन वर्ष पहिले, स्टार्टकम, जुन अहिले समुन्द्रको फेदमा बस्छ, नाफामा थियो; तिनीहरूसँग कहिल्यै कुनै समस्या थिएन। यस समयमा, न्यूनतम मूल्य कोमोडो द्वारा प्रदान गरिएको छ, तर, यो बाहिर जान्छ, त्यहाँ एक क्याच छ - तिनीहरूका लागि विकासकर्ता शाब्दिक रूपमा कोही होइन र उसलाई धोका दिनु सामान्य अभ्यास हो।

मैले 2018 को मध्यमा खरिद गरेको प्रमाणपत्र प्रयोग गरेको लगभग एक वर्ष पछि, अचानक, मेल वा फोन द्वारा पूर्व सूचना बिना, कोमोडोले बिना कुनै व्याख्या रद्द गर्यो। तिनीहरूको प्राविधिक समर्थनले राम्रोसँग काम गर्दैन - तिनीहरूले एक हप्ताको लागि प्रतिक्रिया नगर्न सक्छन्, तर तिनीहरूले अझै पनि मुख्य कारण पत्ता लगाउन व्यवस्थित गरे - तिनीहरूले विचार गरे कि जारी गरिएको प्रमाणपत्र मालवेयरद्वारा हस्ताक्षर गरिएको थियो। र कथा त्यहाँ समाप्त हुन सक्छ, यदि एक चीजको लागि होइन - मैले कहिल्यै मालवेयर सिर्जना गरेको छैन, र मेरो आफ्नै सुरक्षा विधिहरूले मलाई मेरो निजी कुञ्जी चोरी गर्न असम्भव छ भन्न अनुमति दिन्छ। केवल Comodo सँग कुञ्जीको प्रतिलिपि छ किनभने तिनीहरूले तिनीहरूलाई CSR बिना जारी गर्छन्। र त्यसपछि - प्राथमिक प्रमाण पत्ता लगाउन असफल प्रयास को लगभग दुई हप्ता। कम्पनी, जसले कथित रूपमा सुरक्षा सुरक्षाको ग्यारेन्टी गर्दछ, स्पष्ट रूपमा तिनीहरूको नियमहरूको उल्लङ्घनको प्रमाण प्रदान गर्न अस्वीकार गर्यो।

प्राविधिक सहयोगको साथ अन्तिम च्याटबाटतपाईं ०१:२०
तपाईंले लेख्नुभएको छ "हामी समान व्यापार दिन भित्र मानक समर्थन टिकटहरूको जवाफ दिन प्रयास गर्छौं।" तर म अब एक हप्ता देखि जवाफ को लागी पर्खिरहेको छु।

भिन्सन ०१:२०
नमस्ते, Sectigo SSL प्रमाणीकरणमा स्वागत छ!
मलाई तपाईंको केस स्थिति जाँच गर्न दिनुहोस्, कृपया एक मिनेट होल्ड गर्नुहोस्।
मैले जाँच गरेको छु र हाम्रो उच्च अधिकारीद्वारा मालवेयर/फ्राड/फिसिङको कारणले अर्डर रद्द गरिएको छ।

तपाईं ०१:२०
म पक्का छु कि यो तपाईंको गल्ती हो, त्यसैले म प्रमाण माग्छु।
मसँग कहिल्यै मालवेयर/फ्राड/फिसिङ भएको छैन।

भिन्सन ०१:२०
मलाई माफ गर्नुहोस्, अलेक्जेन्डर। मैले दोहोरो जाँच गरेको छु र हाम्रो उच्च अधिकारीद्वारा मालवेयर/फ्रड/फिसिङको कारणले अर्डर रद्द गरिएको छ।

तपाईं ०१:२०
कुन फाइलमा भाइरस देख्नुभयो ? त्यहाँ भाइरस टोटलको लिङ्क छ? म तपाईंको जवाफ स्वीकार गर्दिन किनभने यसमा कुनै प्रमाण छैन। मैले यस प्रमाणपत्रको लागि पैसा तिरेको छु र मलाई मेरो पैसा किन बल प्रयोग गरी लिइयो भनेर जान्न पाउने अधिकार छ।
यदि तपाइँ प्रमाण प्रदान गर्न सक्नुहुन्न भने, प्रमाणपत्र अनुचित रूपमा खारेज गरियो र पैसा फिर्ता गर्नु पर्छ। नत्र प्रमाणबिना प्रमाणपत्र खारेज गरेमा तपाईको कामको के अर्थ ?

भिन्सन ०१:२०
म तिम्रो चिन्ता बुझ्छु। मालवेयर वितरणको लागि कोड हस्ताक्षर प्रमाणपत्र रिपोर्ट गरिएको छ। उद्योग दिशानिर्देशहरू अनुसार: प्रमाणपत्र प्राधिकरणको रूपमा Sectigo प्रमाणपत्र रद्द गर्न आवश्यक छ।
साथै फिर्ता नीति अनुसार, हामी जारी भएको मितिबाट 30 दिन पछि फिर्ता गर्न सक्षम हुने छैनौं।

तपाईं ०१:२०
तपाईलाई किन लाग्छ यो गल्ती वा गलत सकारात्मक होइन?

भिन्सन ०१:२०
मलाई माफ गर्नुहोस्, अलेक्जेन्डर। हाम्रा उच्च अधिकारीहरूको रिपोर्ट अनुसार, मालवेयर/फ्राड/फिसिङको कारणले आदेश रद्द गरिएको छ।

तपाईं ०१:२०
माफी माग्नुपर्ने आवश्यकता छैन, मैले पैसा तिरेको छु र मैले तपाईंको नियमहरू उल्लङ्घन गरेको प्रमाण हेर्न चाहन्छु। यो सरल छ।
मैले तीन वर्षको लागि भुक्तान गरें, त्यसपछि तपाईंले कारण लिएर आउनुभयो र मलाई प्रमाणपत्र बिना र मेरो अपराधको प्रमाण बिना छोडिदिनुभयो।

भिन्सन ०१:२०
म तिम्रो चिन्ता बुझ्छु। मालवेयर वितरणको लागि कोड हस्ताक्षर प्रमाणपत्र रिपोर्ट गरिएको छ। उद्योग दिशानिर्देशहरू अनुसार: प्रमाणपत्र प्राधिकरणको रूपमा Sectigo प्रमाणपत्र रद्द गर्न आवश्यक छ।

तपाईं ०१:२०
नबुझेको जस्तो लाग्छ। प्रमाण बिना सजाय दिने अदालत कहाँ देख्नुभयो ? तिमीले त्यसै गर्यौ। मसँग कहिल्यै मालवेयर भएको छैन। छ भने प्रमाण किन नदिने ? सर्टिफिकेट रिभोकेशन के विशिष्ट प्रमाण हो?

भिन्सन ०१:२०
मलाई माफ गर्नुहोस्, अलेक्जेन्डर। हाम्रा उच्च अधिकारीहरूको रिपोर्ट अनुसार, मालवेयर/फ्राड/फिसिङको कारणले आदेश रद्द गरिएको छ।

तपाईं ०१:२०
प्रमाणपत्र रद्द गर्नुको वास्तविक कारण म कसले पत्ता लगाउन सक्छु?
यदि तपाईं जवाफ दिन सक्नुहुन्न भने, मलाई भन्नुहोस् कसलाई सम्पर्क गर्ने?

भिन्सन ०१:२०
कृपया तलको लिङ्क प्रयोग गरेर फेरि टिकट पेश गर्नुहोस् ताकि तपाईंले सकेसम्म चाँडो प्रतिक्रिया प्राप्त गर्नुहुनेछ।
sectigo.com/support-ticket

तपाईं ०१:२०
धन्यवाद।
यो नतिजा पृथक छैन, च्याट मा वार्ता को सबै समय, सबै भन्दा राम्रो, तिनीहरूले एउटै कुरा जवाफ दिन्छन्, टिकट या त सबै जवाफ छैन, वा जवाफहरू जस्तै बेकार छन्।

म फेरि टिकट बनाउँदैछुमेरो अनुरोध:
मलाई प्रमाण चाहिन्छ कि मैले एउटा नियम उल्लङ्घन गरेको छु जसले खारेज गर्यो। मैले प्रमाणपत्र किनेको छु र मेरो पैसा मबाट किन लिइयो भनेर जान्न चाहन्छु।
"मालवेयर/फ्राड/फिसिङ" जवाफ होइन! कुन फाइलमा भाइरस देख्नुभयो ? त्यहाँ भाइरस टोटलको लिङ्क छ? कृपया प्रमाण प्रदान गर्नुहोस् वा पैसा फिर्ता गर्नुहोस्, म प्राविधिक सहयोग लेख्न थाकेको छु र एक हप्ता भन्दा बढी पर्खिरहेको छु।
धन्यवाद।

तिनीहरूको जवाफ:
मालवेयर वितरणको लागि कोड हस्ताक्षर प्रमाणपत्र रिपोर्ट गरिएको छ। उद्योग दिशानिर्देशहरू अनुसार: प्रमाणपत्र प्राधिकरणको रूपमा Sectigo प्रमाणपत्र रद्द गर्न आवश्यक छ।
मलाई जवाफ दिने बाँदर होइन भन्ने आशा पूरै हराएको छ। एउटा रोचक रेखाचित्र देखा पर्यो:

1. हामी प्रमाणपत्र बेच्छौं।
2. PayPal मार्फत विवाद खोल्न असम्भव भएकोले हामी छ महिना भन्दा बढी पर्खिरहेका छौं।
3. हामी सम्झन्छौं र अर्को आदेशको लागि पर्खिरहेका छौं। नाफा!

मसँग उनीहरूलाई प्रभाव पार्ने अन्य कुनै विधिहरू नभएकोले, म तिनीहरूको ठगीलाई मात्र सार्वजनिक गर्न सक्छु। कोमोडोबाट प्रमाणपत्र खरिद गर्दा, जसलाई Sectigo पनि भनिन्छ, तपाईंले उही अवस्था सामना गर्न सक्नुहुन्छ।

जुन ९ को अपडेट:
आज मैले CodeSignCert (कम्पनी जस मार्फत मैले प्रमाणपत्र किनेको) लाई सूचित गरें कि तिनीहरूले प्रतिक्रिया दिन बन्द गरेपछि, मैले यस लेखको लिङ्कको साथ सार्वजनिक छलफलको लागि स्थिति ल्याएको छु। केही समय पछि, तिनीहरूले अन्ततः भाइरस टोटलको स्क्रिनसट पठाए, जहाँ कार्यक्रम ह्यास देखिन्थ्यो EzvitUpd:
भाइरस कुल - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

अवस्थाको मेरो मूल्याङ्कन:
म विश्वास संग भन्न सक्छु कि यो एक गलत सकारात्मक छ। संकेत:

1. अधिकतर अवस्थामा पदनाम जेनेरिक।
2. एन्टिभाइरस नेताहरूबाट कुनै पत्ता लागेन।

यो भन्न गाह्रो छ कि वास्तवमा एन्टिभाइरसहरूबाट यस्तो प्रतिक्रियाको कारण के हो, तर फाइल धेरै पुरानो भएकोले (यो लगभग एक वर्ष पहिले सिर्जना गरिएको थियो), मसँग फाइल पुन: सिर्जना गर्नको लागि संस्करण 1.6.1 को स्रोत कोड छैन। । यद्यपि, मसँग नवीनतम संस्करण 1.6.5 छ, र मुख्य शाखाको अपरिवर्तनीयतालाई ध्यानमा राख्दै, त्यहाँ न्यूनतम परिवर्तनहरू गरिएको थियो, तर त्यहाँ त्यस्ता कुनै गलत सकारात्मकहरू छैनन्:
भाइरस कुल - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert को गलत सकारात्मक को बारे मा सूचित गरिएको छ; एक पटक वार्ता को थप नतीजाहरु उपलब्ध भएपछि, स्थिति पूर्ण रूपमा समाधान नभएसम्म लेख अद्यावधिक गरिनेछ।

स्रोत: www.habr.com