A keni imagjinuar ndonjëherë që një kompani e madhe mund të mashtrojë klientët e saj, veçanërisht nëse kjo kompani e pozicionon veten si garuese e sigurisë? Edhe unë nuk e kisha menduar deri për një kohë të fundit. Ky artikull është një paralajmërim që të mendoni dy herë para se të blini një certifikatë për nënshkrimin e kodit nga Comodo.
Në detyrën time (administrimin e sistemeve), krijoj programe të ndryshme të dobishme, të cilat i përdor aktivisht në punën time dhe njëkohësisht i ofroj falas për të gjithë ata që janë të interesuar. Rreth tre vjet më parë, ndjeva nevojën për të nënshkruar programet, ndotherwise not all my clients and users could download them seamlessly just because they were not signed. For a long time, signing has been a practice that does not depend on how safe the program is, but if it is not signed, it will definitely attract increased attention.
- Shfletuesi mbledh statistika se sa shpesh shkarkohet një skedar, dhe kur ai nuk është nënshkruar, në fazën fillestare ai mund të bllokohet "për çdo rast" dhe të kërkojë konfirmimin e qartë nga përdoruesi për ruajtjen e tij. Algoritmet mund të jenë të ndryshme, ndonjëherë edhe domeni konsiderohet i besueshëm, por në përgjithësi, një nënshkrim valid është ajo që vërteton sigurinë.
- Pasi tĂ« shkarkohet, skedari shqyrtohet nga antivirusi dhe menjĂ«herĂ« pĂ«rpara se tĂ« fillohet, nga vetĂ« sistemi operativ. PĂ«r antiviruse, nĂ«nshkrimi Ă«shtĂ« gjithashtu shumĂ« i rĂ«ndĂ«sishĂ«m, kĂ«tĂ« mund ta shihni lehtĂ«sisht nĂ« virustotal, dhe sa i pĂ«rket sistemit operacional, duke filluar nga Win10, njĂ« skedar me njĂ« certifikatĂ« tĂ« tĂ«rhequr bllokohet menjĂ«herĂ« dhe nuk mund tĂ« hapet nga eksploruesi. PĂ«r mĂ« tepĂ«r, nĂ« disa organizata Ă«shtĂ« ndaluar gjithashtu ekzekutimi i kodit tĂ« pa nĂ«nshkruar (e cila ndihmohet nga mjetet e sistemit), dhe kjo Ă«shtĂ« e arsyeshme â tĂ« gjithĂ« zhvilluesit normalĂ« e kanĂ« menduar prej kohĂ«sh se programet e tyre duhet tĂ« verifikohen pa pĂ«rpjekje shtesĂ«.
NĂ« pĂ«rgjithĂ«si, drejtimi Ă«shtĂ« zgjedhur siç duhet â sa mĂ« shumĂ« qĂ« tĂ« jetĂ« e mundur, tĂ« bĂ«het interneti sa mĂ« tĂ« sigurt pĂ«r pĂ«rdoruesit e papĂ«rvojĂ«. MegjithatĂ«, realizimi vetĂ« Ă«shtĂ« ende shumĂ« larg pĂ«rsosmĂ«risĂ«. NjĂ« zhvillues i thjeshtĂ« nuk mund tĂ« marrĂ« lejen, duhet ta blejĂ« atĂ« nga kompani qĂ« e kanĂ« monopolizuar kĂ«tĂ« treg dhe i imponojnĂ« kushte atij. Por çfarĂ« ndodh nĂ«se programet janĂ« falas? Askush nuk Ă«shtĂ« i interesuar. AtĂ«herĂ« zhvilluesi ka njĂ« zgjedhje â tĂ« vĂ«rtetojĂ« vazhdimisht sigurinĂ« e programeve tĂ« tij, duke sakrifikuar lehtĂ«sinĂ« pĂ«r pĂ«rdoruesit, ose tĂ« blejĂ« lejen. Tre vjet mĂ« parĂ«, StartCom ishte fitimprurĂ«s, i cili tani Ă«shtĂ« nĂ« fund tĂ« oqeanit, dhe me ta nuk ka pasur kurrĂ« probleme. Aktualisht, çmimin mĂ« minimal e ofron Comodo, por siç u dĂ«nua, ka njĂ« kurth â pĂ«r ta, zhvilluesi Ă«shtĂ« nĂ« tĂ« vĂ«rtetĂ« askush dhe t'i nĂ«nshtrohet atij Ă«shtĂ« njĂ« praktikĂ« normale.
Pas afro njĂ« viti pĂ«rdorimi tĂ« lejes qĂ« kam blerĂ« nĂ« mes tĂ« vitit 2018, papritur, pa njoftim paraprak pĂ«rmes postĂ«s ose telefonit, Comodo e tĂ«rhoqi atĂ« pa shpjegimin e arsyeve. ShĂ«rbimi i tyre pĂ«r klientĂ«t nuk funksionon mirĂ« â mund tĂ« mos pĂ«rgjigjen pĂ«r njĂ« javĂ«, megjithatĂ« arrita tĂ« mĂ«soj arsye kryesore â ata menduan se leja e dhĂ«nĂ« kishte nĂ«nshkruar malware. Dhe historia mund tĂ« pĂ«rfundonte kĂ«tu, nĂ«se nuk do tĂ« ishte njĂ« por â unĂ« kurrĂ« nuk kam krijuar malware, dhe metodat e mia tĂ« mbrojtjes lejojnĂ« tĂ« them se Ă«shtĂ« e pamundur tĂ« mĂ« vidhet çelĂ«si privat. NjĂ« kopje e çelĂ«sit ekziston vetĂ«m te Comodo, sepse ata i lĂ«shojnĂ« ato pa CSR. Dhe pastaj â pothuajse dy javĂ« pĂ«rpjekjeje tĂ« pasuksesshme pĂ«r tĂ« marrĂ« njĂ« provĂ« elementare. Kompania qĂ« supozohet se garanton sigurimin nĂ« fushĂ«n e sigurisĂ«, u refuzoi qoftĂ« dhe njĂ« provĂ« pĂ«r shkeljen e rregullave tĂ« tyre.
Nga biseda e fundit me shërbimin mbështetësYou 01:20
You have written «We strive to respond to standard support tickets within the same business day.» but I have been waiting for a response for a week now.
Vinson 01:20
Përshëndetje, Mirësevini në Validimin SSL të Sectigo!
Më lejoni të kontrolloj statusin e rastit tuaj, ju lutem prisni një minutë.
Kam kontrolluar dhe porosia është tërhequr për shkak të malware/fraudë/phishing nga zyrtarët tanë të lartë.
You 01:28
Jam i sigurt që kjo është gabimi juaj, prandaj kërkoj prova.
Nuk kam pasur kurrë malware/fraudë/phishing.
Vinson 01:30
Më vjen keq, Alexander. E kam kontrolluar dy herë dhe porosia është tërhequr për shkak të malware/fraudë/phishing nga zyrtarët tanë të lartë.
You 01:31
Në cilin skedar e gjetët virusin? A ka një lidhje me virustotal? Nuk e pranoj përgjigjen tuaj sepse nuk ka provë në të. Kam paguar para për këtë leje dhe kam të drejtë të di pse më janë marrë paratë me forcë.
Nëse nuk mund të ofroni prova, atëherë certifikata është revokuar padrejtësisht dhe duhet të rikthehet paratë. Përndryshe, çfarë domethënie ka puna juaj nëse revokoni certifikatat pa prova?
Vinson 01:34
E kuptoj shqetësimin tuaj. Certifikata e nënshkrimit të kodit është raportuar për shpërndarje të malware. Sipas udhëzimeve të industrisë: Sectigo si një Autoritet Certifikimi është e detyruar të revokojë certifikatën.
Po ashtu sipas politikës së rikthimit, nuk do të jemi në gjendje të kthejmë paratë pas 30 ditëve nga data e lëshimit.
Ju 01:35
Pse mendoni se kjo nuk është një gabim apo një shpërbërje false?
Vinson 01:36
Më vjen keq, Alexander. Sipas raportit të zyrtarëve tanë më të lartë, urdhri është revokuar për shkak të malware/fraudë/phishing.
Ju 01:37
Nuk ka nevojĂ« tĂ« kĂ«rkoni falje, unĂ« e pagova paratĂ« dhe dua tĂ« shoh prova se kam shkelur rregullat tuaja. ĂshtĂ« e thjeshtĂ«.
Pagova për tre vjet, pastaj ju dolët me një arsye dhe më lanë pa një certifikatë dhe pa prova të fajit tim.
Vinson 01:43
E kuptoj shqetësimin tuaj. Certifikata e nënshkrimit të kodit është raportuar për shpërndarje të malware. Sipas udhëzimeve të industrisë: Sectigo si një Autoritet Certifikimi është e detyruar të revokojë certifikatën.
Ju 01:45
Duket se nuk e kuptoni. Ku e keni parë gjykatën që kalon dënimin pa prova? Kështu vepruat. Nuk kam pasur kurrë malware. Pse nuk ofroni prova nëse është? Cilat prova specifike janë për revokimin e certifikatës?
Vinson 01:46
Më vjen keq, Alexander. Sipas raportit të zyrtarëve tanë më të lartë, urdhri është revokuar për shkak të malware/fraudë/phishing.
Ju 01:47
Këndej mund të zbuloj arsyen reale për revokimin e certifikatës?
Nëse nuk mund të përgjigjeni, më thoni me kë të kontaktoj?
Vinson 01:48
Ju lutemi dërgoni sërish një biletë duke përdorur linkun më poshtë në mënyrë që të merrni një përgjigje sa më herët të jetë e mundur.
Ju 01:48
Faleminderit.
Ky rezultat nuk është i vetmi, gjatë të gjithë bisedave në chat përgjigjet më së shumti janë të njëjta, për biletat me ose fare nuk përgjigjen, ose përgjigjet janë gjithashtu aq të padobishme.
Sërish krijoj një biletëKërkesa ime:
Kërkoj prova se kam shkelur një rregull që çoi në revokim. Bleva një certifikatë dhe dua të di pse më janë marrë paratë.
«malware/fraudë/phishing» nuk është përgjigjja! Në cilin skedar e keni parë virusin? A ka një lidhje në virustotal? Ju lutem ofroni prova ose ktheni paratë, jam lodhur nga shkrimi në mbështetje teknike dhe kam pritur më shumë se një javë.
Faleminderit.
PĂ«rgjigjja e tyre:
Certifikata e nënshkrimit të kodit është raportuar për shpërndarje të malware. Sipas udhëzimeve të industrisë: Sectigo si një Autoritet Certifikimi është e detyruar të revokojë certifikatën.
Shpresa për të marrë një përgjigje nga një njeri i vërtetë, përfundimisht bie. Një skemë interesante po shfaqet:
- Shesim certifikatën.
- Presim më shumë se gjashtë muaj, që përmes PayPal të mos mund të hapim një mosmarrëveshje.
- Revokojmë dhe presim porosinë tjetër. Profit!
Pasi që nuk kam asnjë metodë tjetër për të vepruar mbi ta, mund të veproj vetëm për të zbuluar mashtrimin e tyre. Duke blerë një certifikatë nga Comodo, ata janë gjithashtu Sectigo, mund të përballeni me situatën e njëjtë.
Azhurnimi nga 9 qershori:
Sot e njoftova CodeSignCert (kompaninë përmes së cilës bleva certifikatën) se pasi ata kanë ndaluar së përgjiguri, kam sjellë situatën në diskutim publik me këtë artikull. Pas pak kohe, ata më në fund dërguan një screenshot në virustotal, ku u pa hashi i programit :
VirusTotal â
Vlerësimi im i situatës:
Mund të them me siguri se është një alarm i rremë. Shënjat:
- Emri Generic në shumicën e rasteve të rreme.
- Mungesa e rremeve nga liderët e antivirusëve.
ĂshtĂ« e vĂ«shtirĂ« tĂ« thuhet se çfarĂ« saktĂ«sisht shkaktoi kĂ«tĂ« reagim nga antivirusĂ«t, por pasi skedari Ă«shtĂ« shumĂ« i vjetruar (ka qenĂ« krijuar gati njĂ« vit mĂ« parĂ«), nuk kam ruajtur burimin e versionit 1.6.1 pĂ«r ta rikrijuar skedarin. MegjithatĂ«, kam versionin mĂ« tĂ« fundit 1.6.5, dhe duke marrĂ« parasysh se dega kryesore nuk ka ndryshuar, ndryshimet aty janĂ« minimale, por nuk ka njĂ« rremĂ« tĂ« tillĂ«:
VirusTotal â
CodeSignCert është njoftuar për një rremë, pas shfaqjes së rezultateve të tjera nga negociatat artikulli do të përditësohet deri në zgjidhjen e plotë të situatës.
Burimi: habr.com
