Comodo brez razloga umika certifikate

Ste si lahko predstavljali, da bi velika firma varala svoje stranke, še posebej, če se ta firma predstavlja kot garant varnosti? Tudi jaz tega do nedavnega nisem mogel. Ta članek je opozorilo, da premislite desetkrat, preden kupite certifikat za podpisovanje kode pri Comodo.

V svojem poklicu (sistemskega administratorja) ustvarjam različne uporabne programe, ki jih aktivno uporabljam v svojem delu, hkrati pa jih brezplačno objavljam za vse, ki jih želijo. Pred približno tremi leti se je pojavila potreba po podpisovanju programov, saj moji stranke in uporabniki v nasprotnem primeru niso mogli enostavno prenesti le-teh, ker niso bili podpisani. Že dolgo je podpisovanje običajna praksa in ni pomembno, kako varen je program, a če ni podpisan, bo na njega vedno usmerjena povečana pozornost:

1. Brauzer zbira statistiko o tem, kako pogosto se prenaša datoteka, in ko ni podpisana, se lahko na začetku celo blokira 'za vsak primer' ter zahteva od uporabnika izrecno potrditev za shranitev. Algoritmi so različni, včasih je tudi domena obravnavana kot zaupanja vredna, a na splošno je prav veljaven podpis potrdilo o varnosti.
2. Po prenosu datoteko preveri antivirus in pred samim zagonim tudi operacijski sistem. Za antiviruse je podpis prav tako zelo pomemben, kar lahko enostavno preverite na virustotal, kar pa zadeva operacijski sistem, od Win10 naprej datoteka s preklicanim certifikatom takoj blokira in je ni mogoče zagnati iz raziskovalca. Poleg tega je v nekaterih organizacijah povsem prepovedan zagon neprijavljenega kode (to se nastavi z orodji sistema), kar je upravičeno — vsi normalni razvijalci so se že dolgo potrudili, da lahko njihovi programi preverjeni brez dodatnih naporov.

Na splošno je izbrana prava smer — po svojih najboljših močeh narediti internet čim bolj varen za neizkušene uporabnike. Vendar pa je sama izvedba še daleč od idealne. Običajen razvijalec ne more preprosto pridobiti certifikata, ta se mora kupiti pri podjetjih, ki so monopolizirala ta trg in postavila svoje pogoje. Kaj pa, če so programi brezplačni? To nikogar ne zanima. Takrat ima razvijalec izbiro — nenehno dokazovati varnost svojih programov, na račun udobja uporabnikov, ali pa kupiti certifikat. Pred tremi leti je bil ugoden StartCom, ki sedaj občasno živi na dnu oceana, s njimi nikoli ni bilo težav. Trenutno minimalno ceno ponuja Comodo, vendar se je izkazalo, da obstaja skrivnost — za njih je razvijalec praktično nihče in je enostavno, da ga prevarajo.

Po skoraj letu uporabe certifikata, ki sem ga kupil sredi leta 2018, ga je Comodo nenadoma, brez predhodnega obvestila preko e-pošte ali telefona, preklical brez pojasnila. Njihova tehnična podpora deluje slabo — lahko ne odgovorijo tudi teden dni, vendar sem kljub temu uspel izvedeti glavni razlog — smatrajo, da je bil podpisan zlonamerni program z izdanjem certifikata. In zgodba bi se lahko končala tukaj, če ne bi bilo enega 'ampak' — nikoli nisem ustvaril zlonamernega programa, moji lastni varnostni ukrepi pa omogočajo trditev, da mi tudi ukrasti zasebni ključ ni mogoče. Kopija ključa je le pri Comodu, saj jih izdajo brez CSR. In nato — skoraj dva tedna neuspešnih poskusov, da izvedem osnovni dokaz. Podjetje, ki naj bi zagotavljalo zaščito na področju varnosti, se je odločno odreklo določitvi dokaza o kršitvi svojih pravil.

Iz zadnjega chat-a s tehnično podporoYou 01:20
You have written «We strive to respond to standard support tickets within the same business day.» but I have been waiting for a response for a week now.

Vinson 01:20
Hi, Welcome to Sectigo SSL Validation!
Let me check your case status, please hold on for a minute.
I have checked and the order has been revoked due to malware/fraud/phishing by our higher official.

You 01:28
I am sure that this is your mistake, so I ask for proof.
I’ve never had malware/fraud/phishing.

Vinson 01:30
I am sorry, Alexander. I have double checked and the order has been revoked due to malware/fraud/phishing by our higher official.

You 01:31
In which file did you see the virus? Is there a link to virustotal? I do not accept your answer because there is no proof in it. I paid money for this certificate and I have the right to know why my money is taken from me by force.
Če ne morete zagotoviti dokazila, potem je bila potrditev nepravično preklicana in morate vrniti denar. Kaj pomeni vaše delo, če prekličete potrdila brez dokazil?

Vinson 01:34
Razumem vašo skrb. Potrdilo o podpisovanju kode je bilo prijavljeno zaradi distribucije zlonamerne programske opreme. V skladu z industrijskimi smernicami: Sectigo kot overitelj potrdil mora preklicati potrdilo.
Prav tako v skladu s politiko vračil, ne bomo mogli vrniti denarja po 30 dneh od datuma izdaje.

You 01:35
Zakaj menite, da to ni napaka ali lažni pozitiv?

Vinson 01:36
Žal mi je, Alexander. V skladu s poročilom naših višjih uradnikov je bila naročilo preklicano zaradi zlonamerne programske opreme/fraud/phishing.

You 01:37
Ni potrebe po opravičilu, plačal sem denar in želim videti dokaz, da sem kršil vaša pravila. To je preprosto.
Plačal sem za tri leta, potem ste prišli z razlogom in me pustili brez potrdila in brez dokazov o moji krivdi.

Vinson 01:43
Razumem vašo skrb. Potrdilo o podpisovanju kode je bilo prijavljeno zaradi distribucije zlonamerne programske opreme. V skladu z industrijskimi smernicami: Sectigo kot overitelj potrdil mora preklicati potrdilo.

You 01:45
Zdi se, da ne razumete. Kje ste videli sodišče, ki izreče kazen brez dokazov? To ste storili. Nikoli nisem imel zlonamerne programske opreme. Zakaj ne zagotovite dokazov, če je to tako? Kakšno specifično dokazilo je preklic potrdila?

Vinson 01:46
Žal mi je, Alexander. V skladu s poročilom naših višjih uradnikov je bila naročilo preklicano zaradi zlonamerne programske opreme/fraud/phishing.

You 01:47
Kje lahko ugotovim pravi razlog za preklic potrdila?
Če ne morete odgovoriti, mi povejte, s kom naj stopim v stik?

Vinson 01:48
Prosimo, ponovno oddajte zahtevke z uporabo spodnje povezave, da boste prejeli odgovor čim prej.
sectigo.com/support-ticket

You 01:48
Hvala.
Takšna izkušnja ni osamljena, ves čas pogovorov v klepetu v najboljšem primeru odgovarjajo isto, na zahtevke pa ali ne odgovarjajo sploh, ali so odgovori prav tako brez vrednosti.

Ponovno ustvarjam zahtevekMoj zahtevek:
Zahtevam dokaz, da sem kršil pravilo, ki je pripeljalo do preklica. Kupil sem potrdilo in želim vedeti, zakaj so mi vzeli denar.
„zlonamerna programska oprema/frauda/phishing“ ni odgovor! V katerem datoteki ste videli virus? Ali obstaja povezava do virustotal? Prosim, zagotovite dokaz ali vrnite denar, siten sem pisanja tehnične podpore in čakam že več kot teden dni.
Hvala.

Njihov odgovor:
Potrdilo o podpisovanju kode je bilo prijavljeno zaradi distribucije zlonamerne programske opreme. V skladu z industrijskimi smernicami: Sectigo kot overitelj potrdil mora preklicati potrdilo.
Upanje, da mi ne bo odgovorila opica, se popolnoma izgublja. Zanimiva shema se nakazuje:

1. Prodamo potrdilo.
2. Čakamo več kot pol leta, da skozi PayPal ni mogoče odpreti spora.
3. Prekličemo in čakamo na naslednje naročilo. Profit!

Ker nimam drugih metod vplivanja nanje, lahko le razkrijem njihovo goljufijo. Ko kupite potrdilo pri Comodo, torej Sectigo, se lahko soočite s podobno situacijo.

Posodobitev z 9. junija:
Danes sem obvestil CodeSignCert (podjetje, preko katerega sem kupil potrdilo), da sem zaradi prenehanja odgovora zadevo postavil na javno razpravo s sklicevanjem na ta članek. Po nekaj časa so končno poslali posnetek zaslona virustotal, kjer je bil vidna hash programa EzvitUpd:
VirusTotal — d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Moja ocena situacije:
Z gotovostjo lahko rečem, da je to lažni alarm. Znaki:

1. Oznaka Generic se v večini primerov pojavlja.
2. Pomanjkanje zaznav zapletov pri vodilnih antivirusih.

Težko je reči, kaj natančno je povzročilo to reakcijo antivirusov, vendar je datoteka zelo zastarela (ustvarjena pred skoraj enim letom), tako da nimam izvorne kode različice 1.6.1, da bi datoteko ponovila binarno. Vendar pa imam zadnjo različico 1.6.5 in ob upoštevanju, da se glavni veji ni spremenila, so bile spremembe minimalne, vendar ni takšnih lažnih zaznav.
VirusTotal — c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert je obveščen o lažni zaznavi, článek bo posodobljen, ko bodo na voljo dodatni rezultati pogajanj.

Izvor: habr.com