Você poderia imaginar que uma grande empresa estaria enganando seus clientes, especialmente se essa empresa se posiciona como um garante de segurança? Eu também não conseguia até recentemente. Este artigo é um aviso para que você pense duas vezes antes de comprar um certificado para assinatura de código da Comodo.
Por conta do meu trabalho (administração de sistemas), eu desenvolvo vários programas úteis que uso ativamente no meu trabalho, além de disponibilizá-los gratuitamente para todos que desejam. Há cerca de três anos, surgiu a necessidade de assinar programas, pois não todos os meus clientes e usuários conseguiam baixá-los sem problemas apenas porque não estavam assinados. A assinatura se tornou uma prática comum e não importa quão seguro seja o programa, mas se ele não estiver assinado, certamente receberá mais atenção.
- O navegador coleta estatísticas sobre a frequência com que um arquivo é baixado e, quando não está assinado, pode até ser bloqueado no início como uma precaução, exigindo do usuário uma confirmação explícita para salvá-lo. Existem diferentes algoritmos, às vezes um domínio é considerado confiável, mas, em geral, uma assinatura válida é a confirmação de segurança.
- Após o download, o arquivo é analisado pelo antivírus e, logo antes de ser executado, pelo próprio sistema operacional. Para os antivírus, a assinatura também é bastante importante, e isso pode ser facilmente verificado no virustotal. Quanto ao sistema operacional, a partir do Windows 10, um arquivo com um certificado revogado é imediatamente bloqueado e não pode ser executado a partir do explorador. Além disso, em algumas organizações, a execução de código não assinado é totalmente proibida (configurável através dos recursos do sistema), e isso é justificado — todos os desenvolvedores normais já se preocuparam para que seus programas possam ser verificados sem esforços adicionais.
No geral, a direção escolhida é a correta — fazer da internet o mais segura possível para usuários inexperientes. No entanto, a implementação ainda está longe do ideal. Um desenvolvedor comum não pode simplesmente obter um certificado, ele precisa comprá-lo de empresas que monopolizaram esse mercado e impõem suas condições. Mas o que acontece com programas gratuitos? Isso não preocupa ninguém. Assim, o desenvolvedor tem que escolher — provar constantemente a segurança de seus programas, sacrificando a conveniência dos usuários, ou comprar um certificado. Há três anos, o StartCom era uma opção vantajosa, mas agora está no fundo do oceano, e nunca houve problemas com eles. Atualmente, o menor preço é oferecido pela Comodo, mas, como se descobriu, há um porém — para eles, o desenvolvedor é literalmente um ninguém, e ser enganado é uma prática comum.
Após quase um ano usando o certificado que comprei em meados de 2018, de repente, sem aviso prévio por e-mail ou telefone, a Comodo o revogou sem explicar os motivos. O suporte técnico deles é ruim — às vezes, podem demorar uma semana para responder, mas consegui descobrir a razão principal — eles alegaram que o certificado emitido foi assinado por malware. E a história poderia acabar por aí, se não fosse por um detalhe — eu nunca criei malware, e meus próprios métodos de proteção permitem afirmar que é impossível roubar minha chave privada. A cópia da chave está apenas com a Comodo, pois eles a emitem sem CSR. E em seguida — quase duas semanas de tentativas frustradas para obter uma prova elementar. A empresa que supostamente garante proteção na área de segurança se recusou terminantemente a fornecer prova de qualquer violação de suas regras.
Do último chat com o suporte técnicoVocê 01:20
Você escreveu «Esforçamo-nos para responder a tickets de suporte padrão no mesmo dia útil.» mas estou esperando uma resposta há uma semana.
Vinson 01:20
Oi, Bem-vindo à Validação SSL da Sectigo!
Deixe-me verificar o status do seu caso, por favor, aguarde um minuto.
Verifiquei e o pedido foi revogado devido a malware/fraude/phishing por nossos superiores.
Você 01:28
Tenho certeza de que este é seu erro, então peço uma prova.
Nunca tive malware/fraude/phishing.
Vinson 01:30
Lamento, Alexander. Verifiquei novamente e o pedido foi revogado devido a malware/fraude/phishing por nossos superiores.
Você 01:31
Em qual arquivo você viu o vírus? Há um link para o virustotal? Não aceito sua resposta porque não há prova nela. Eu paguei por este certificado e tenho o direito de saber por que meu dinheiro está sendo tomado à força.
Se você não pode fornecer provas, então o certificado foi revogado injustamente e o dinheiro deve ser devolvido. Caso contrário, qual é o significado do seu trabalho se você revoga certificados sem provas?
Vinson 01:34
Entendo sua preocupação. O certificado de assinatura de código foi relatado por distribuir malware. Segundo as diretrizes da indústria: a Sectigo, como Autoridade Certificadora, é obrigada a revogar o certificado.
Além disso, de acordo com a política de reembolso, não poderemos reembolsar após 30 dias a partir da data de emissão.
Você 01:35
Por que você acha que isso não é um erro ou um falso positivo?
Vinson 01:36
Sinto muito, Alexander. De acordo com o relatório de nossos superiores, o pedido foi revogado devido a malware/fraude/phishing.
Você 01:37
Não há necessidade de se desculpar, eu paguei o dinheiro e quero ver provas de que quebrei suas regras. É simples.
Eu paguei por três anos, então vocês apresentaram uma razão e me deixaram sem um certificado e sem provas da minha culpa.
Vinson 01:43
Entendo sua preocupação. O certificado de assinatura de código foi relatado por distribuir malware. Segundo as diretrizes da indústria: a Sectigo, como Autoridade Certificadora, é obrigada a revogar o certificado.
Você 01:45
Parece que você não entende. Onde você viu o tribunal que emite a sentença sem provas? Você fez exatamente isso. Eu nunca tive malware. Por que você não fornece provas se isso for verdade? Qual prova específica é a revogação de um certificado?
Vinson 01:46
Sinto muito, Alexander. De acordo com o relatório de nossos superiores, o pedido foi revogado devido a malware/fraude/phishing.
Você 01:47
Com quem posso descobrir a verdadeira razão para a revogação do certificado?
Se você não puder responder, me diga com quem entrar em contato?
Vinson 01:48
Por favor, crie um novo ticket usando o link abaixo para que você receba uma resposta o mais rápido possível.
Você 01:48
Obrigado.
Esse resultado não é único, durante todo o tempo de conversas no chat, na melhor das hipóteses, respondem sempre a mesma coisa, os tickets recebem pouquíssimas respostas ou respostas tão inúteis quanto essas.
Estou criando o ticket novamenteMeu pedido:
Necessito de provas de que quebrei uma regra que levou à revogação. Comprei um certificado e quero saber por que meu dinheiro foi retirado.
«malware/fraude/phishing» não é a resposta! Em qual arquivo você viu o vírus? Existe um link para o virustotal? Por favor, forneça provas ou devolva o dinheiro, estou cansado de escrever para o suporte técnico e já estou esperando há mais de uma semana.
Obrigado.
A resposta deles:
O certificado de assinatura de código foi relatado por distribuir malware. Segundo as diretrizes da indústria: a Sectigo, como Autoridade Certificadora, é obrigada a revogar o certificado.
A esperança de que alguém que não seja uma macaca me responda está desaparecendo. Surge uma ideia interessante:
- Vendemos o certificado.
- Esperamos mais de meio ano, para que não seja possível abrir uma disputa pelo PayPal.
- Revogamos e aguardamos o próximo pedido. Lucro!
Como não tenho outros métodos de pressão, só posso expor o golpe. Ao comprar um certificado da Comodo, que é a Sectigo, você pode se deparar com uma situação similar.
Atualização de 9 de junho:
Hoje, deixei claro para a CodeSignCert (a empresa pela qual comprei o certificado) que, como eles pararam de responder, levei a situação a um debate público com referência a este artigo. Após algum tempo, eles finalmente enviaram uma captura de tela do virustotal, onde estava visível o hash do programa :
VirusTotal —
Minha avaliação da situação:
Com certeza, posso afirmar que é um falso positivo. Indicadores:
- A designação Generic em a maior parte das detecções.
- Falta de detecções nos líderes de antivírus.
É difícil dizer exatamente o que causou essa reação dos antivírus, mas como o arquivo está muito desatualizado (foi criado quase um ano atrás), não consegui manter o código-fonte da versão 1.6.1 para recriar o arquivo binário. No entanto, tenho a última versão 1.6.5, e considerando que a ramificação principal não sofreu alterações significativas, as modificações foram mínimas e lá não ocorreu essa detecção falsa:
VirusTotal —
CodeSignCert foi notificado sobre a detecção falsa, após a obtenção de mais resultados das negociações, o artigo será atualizado até que a situação seja totalmente resolvida.
Fonte: habr.com
