Comodo tilbakekaller sertifikater uten grunn

Kunne du forestille deg at et stort selskap ville lure kundene sine, spesielt hvis dette selskapet posisjonerer seg som en garantist for sikkerhet? Det kunne ikke jeg før nylig. Denne artikkelen er en advarsel om at du bør tenke deg om ti ganger før du kjøper et sertifikat for kode-signering fra Comodo.

I mitt arbeid (systemadministrasjon) lager jeg forskjellige nyttige programvarer som jeg aktivt bruker i jobben min, i tillegg til at jeg deler dem gratis med alle som ønsker det. For omtrent tre år siden oppsto behovet for å signere programmene, ellers kunne ikke alle kundene mine og brukerne laste dem ned uten problemer bare fordi de ikke var signert. Signering er nå en vanlig praksis, og det spiller ingen rolle hvor sikker programvaren er; hvis den ikke er signert, vil den få ekstra oppmerksomhet:

1. Nettleseren samler statistikk om hvor ofte en fil lastes ned, og når den ikke er signert, kan den i begynnelsen bli blokkert «bare for sikkerhets skyld» og kreve uttrykkelig bekreftelse fra brukeren på å lagre den. Algoritmene varierer; noen ganger blir domenet ansett som pålitelig, men generelt er det nettopp en gyldig signatur som bekrefter sikkerheten.
2. Etter nedlastingen sjekker antivirusprogrammet filen, og før programmet startes, kontrollerer selve operativsystemet det. For antivirusprogrammer er signaturen også viktig, noe som er lett å følge med på via virustotal. Når det gjelder operativsystemet, blir filer med tilbakekalte sertifikater umiddelbart blokkert i Windows 10, og de kan ikke startes fra filutforskeren. I tillegg er det i noen organisasjoner helt forbudt å kjøre usignert kode (dette kan konfigureres med systemverktøy), noe som er forståelig – alle normale utviklere har allerede sørget for at programvaren deres kan verifiseres uten ekstra anstrengelser.

Generelt er retningen den riktige — så langt som mulig, gjøre internett så trygt som mulig for uerfarne brukere. Imidlertid er implementeringen ennå langt fra ideell. En vanlig utvikler kan ikke bare få et sertifikat; det må kjøpes fra selskaper som har monopol på dette markedet og bestemmer vilkårene. Men hva om programmene er gratis? Det bekymrer ingen. Da må utvikleren velge — stadig bevise sikkerheten til programmene sine, på bekostning av brukervennligheten, eller kjøpe et sertifikat. For tre år siden var StartCom lønnsomt, men nå er de på bunnen av havet, uten problemer med dem. For øyeblikket tilbyr Comodo den laveste prisen, men det viser seg at det er en hake — for dem er utvikleren bokstavelig talt ingen, og å svindle ham er normal praksis.

Etter nesten et år med bruk av sertifikatet jeg kjøpte i midten av 2018, trakk Comodo det plutselig tilbake uten forvarsel via e-post eller telefon. Kundesupporten deres fungerer dårlig — de kan være stille i en uke, men den viktigste grunnen ble jeg til slutt klar over — de mente at det utstte sertifikatet hadde signert skadelig programvare. Og historien kunne ha sluttet der, hvis det ikke var for én ting — jeg har aldri laget skadelig programvare, og mine egne beskyttelsesmetoder gjør at jeg kan si at det er umulig å stjele min private nøkkel. En kopi av nøkkelen finnes bare hos Comodo, fordi de utsteder dem uten CSR. Deretter — nesten to uker med mislykkede forsøk på å få et grunnleggende bevis. Selskapet, som angivelig garanterer sikkerhet innen sikkerhet, nektet på det sterkeste å gi bevis på brudd på reglene deres.

Fra den siste chatten med kundesupportenYou 01:20
Du har skrevet «Vi prøver å svare på standard supportbilletter innen samme arbeidsdag.» men jeg har ventet på svar i en uke nå.

Vinson 01:20
Hei, velkommen til Sectigo SSL-validering!
La meg sjekke statusen til saken din, vennligst hold på et minutt.
Jeg har sjekket, og bestillingen har blitt tilbakekalt på grunn av malware/svindel/phishing av våre høyere offisielle.

You 01:28
Jeg er sikker på at dette er deres feil, så jeg ber om bevis.
Jeg har aldri hatt malware/svindel/phishing.

Vinson 01:30
Jeg beklager, Alexander. Jeg har dobbeltsjekket, og bestillingen har blitt tilbakekalt på grunn av malware/svindel/phishing av våre høyere offisielle.

You 01:31
I hvilken fil så du viruset? Er det en link til virustotal? Jeg aksepterer ikke svaret ditt fordi det ikke er noe bevis i det. Jeg betalte penger for dette sertifikatet, og jeg har rett til å vite hvorfor pengene mine blir tatt fra meg med makt.
Hvis du ikke kan fremlegge bevis, så ble sertifikatet tilbakekalt urettmessig og pengene må tilbakebetales. Ellers, hva er meningen med arbeidet ditt hvis du tilbakekaller sertifikater uten bevis?

Vinson 01:34
Jeg forstår bekymringen din. Kodesign sertifikatet har blitt rapportert for distribusjon av skadevare. I henhold til bransjestandarder er Sectigo som sertifikatmyndighet pålagt å tilbakekalle sertifikatet.
I henhold til refusjonspolitikken vil vi ikke kunne refundere etter 30 dager fra utstedelsesdatoen.

Du 01:35
Hvorfor tror du at dette ikke er en feil eller et falsk positivt resultat?

Vinson 01:36
Jeg beklager, Alexander. Ifølge rapporten fra våre overordnede er bestillingen tilbakekalt på grunn av skadevare/kriminalitet/phishing.

Du 01:37
Det er ikke nødvendig å beklage, jeg betalte pengene og ønsker å se bevis på at jeg brøt reglene deres. Det er enkelt.
Jeg betalte for tre år, så kom dere med en grunn og etterlot meg uten sertifikat og uten bevis på min skyld.

Vinson 01:43
Jeg forstår bekymringen din. Kodesign sertifikatet har blitt rapportert for distribusjon av skadevare. I henhold til bransjestandarder er Sectigo som sertifikatmyndighet pålagt å tilbakekalle sertifikatet.

Du 01:45
Det ser ut til at du ikke forstår. Hvor så du retten som dømmer uten bevis? Det gjorde dere. Jeg har aldri hatt skadevare. Hvorfor gir dere ikke bevis hvis det er tilfelle? Hva spesifikt er beviset for tilbakekallelsen av sertifikatet?

Vinson 01:46
Jeg beklager, Alexander. Ifølge rapporten fra våre overordnede er bestillingen tilbakekalt på grunn av skadevare/kriminalitet/phishing.

Du 01:47
Hvem kan jeg kontakte for å finne ut den egentlige grunnen til tilbakekallelsen av sertifikatet?
Hvis du ikke kan svare, si meg hvem jeg skal kontakte?

Vinson 01:48
Vennligst send inn en billett på nytt ved å bruke lenken nedenfor, slik at du kan få svar så raskt som mulig.
sectigo.com/support-ticket

Du 01:48
Takk.
Et slikt resultat er ikke enestående, hele tiden i samtalene i chatten svarer de i beste fall med det samme, på billetter svarer de enten ikke i det hele tatt, eller svarene er like lite nyttige.

Jeg oppretter billett igjenMin forespørsel:
Jeg krever bevis på at jeg brøt en regel som førte til tilbakekallelsen. Jeg kjøpte et sertifikat og vil vite hvorfor pengene mine blir tatt fra meg.
«skadevare/kriminalitet/phishing» er ikke svaret! I hvilken fil så du viruset? Er det en lenke til virustotal? Vennligst gi bevis eller returner pengene, jeg er lei av å skrive til teknisk støtte og har ventet i mer enn en uke.
Takk.

Deres svar:
Kodesign sertifikatet har blitt rapportert for distribusjon av skadevare. I henhold til bransjestandarder er Sectigo som sertifikatmyndighet pålagt å tilbakekalle sertifikatet.
Håpet om at jeg får svar ikke fra en ape, forsvinner helt. En interessant situasjon tegner seg:

1. Vi selger sertifikatet.
2. Vi venter mer enn et halvt år, så PayPal ikke kan åpne en tvist.
3. Vi tilbakekaller og venter på neste bestilling. Profit!

Siden jeg ikke har andre metoder til å påvirke dem, kan jeg bare avsløre deres svindel. Ved å kjøpe et sertifikat fra Comodo, samme som Sectigo, kan du støte på en lignende situasjon.

Oppdatering fra 9. juni:
I dag har jeg informert CodeSignCert (selskapet jeg kjøpte sertifikatet fra) om at siden de har sluttet å svare, så har jeg brakt saken ut i offentligheten med lenke til denne artikkelen. Etter en stund sendte de endelig et skjermbilde fra virustotal, der hash for programmet var synlig. EzvitUpd:
VirusTotal — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Min vurdering av situasjonen:
Med sikkerhet kan jeg si at dette er en falsk alarm. Tegn:

1. Betegnelsen Generic i de fleste alarmer.
2. Ingen alarmer fra ledende antivirusprogrammer.

Det er vanskelig å si hva som forårsaket denne reaksjonen fra antivirusene, men ettersom filen er sterkt foreldet (den ble opprettet for nesten ett år siden), så har jeg ikke originalkilden for versjon 1.6.1 for å gjenskape filen binært. Imidlertid har jeg den nyeste versjonen 1.6.5, og gitt at hovedgrenen ikke har endret seg, har det blitt gjort minimale endringer der, men det er ingen slike falske alarmer:
VirusTotal — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert har blitt informert om den falske alarmen, etter at det kommer flere resultater fra forhandlingene, vil artikkelen bli oppdatert til en fullstendig løsning på situasjonen.

Kilde: habr.com