Цомодо опозива сертификате без разлога

Да ли бисте могли да замислите да би велика компанија преварила своје купце, поготово ако се ова компанија позиционира као гарант безбедности? Тако да до недавно нисам могао. Овај чланак је упозорење да двапут размислите пре него што купите сертификат за потписивање кода од Цомодо-а.

У оквиру свог посла (администрирање система) правим разне корисне програме које активно користим у свом раду, а истовремено их постављам бесплатно за све. Пре отприлике три године постојала је потреба за потписивањем програма, иначе не би сви моји клијенти и корисници могли да их преузимају без проблема само зато што нису потписани. Потписивање је одавно нормална пракса и без обзира на то колико је програм сигуран, али ако није потписан, свакако ће му се посветити већа пажња:

1. Прегледач прикупља статистику о томе колико често се датотека преузима, а када није потписана, у почетној фази може се чак и блокирати „за сваки случај“ и захтевати изричиту потврду корисника за чување. Алгоритми су различити, понекад се домен сматра поузданим, али генерално је то валидан потпис који потврђује сигурност.
2. Након преузимања, антивирусни програм прегледа датотеку и непосредно пре покретања самог ОС-а. За антивирусе је такође важан потпис, то се лако види на вирустотал-у, а што се тиче ОС-а, почевши од Вин10, датотека са опозваним сертификатом се одмах блокира и не може се покренути из Експлорера. Поред тога, у неким организацијама је генерално забрањено покретање непотписаног кода (конфигурисаног помоћу системских алата), и то је оправдано - сви нормални програмери су се дуго уверили да се њихови програми могу проверити без додатних напора.

Генерално, изабран је прави правац - колико је то могуће, чинећи Интернет што сигурнијим за неискусне кориснике. Међутим, сама имплементација је још увек далеко од идеалне. Једноставан програмер не може једноставно да добије сертификат, већ га мора купити од компанија које су монополизовале ово тржиште и диктирају своје услове на њему. Али шта ако су програми бесплатни? Никога није брига. Тада програмер има избор - да стално доказује сигурност својих програма, жртвујући погодност корисника, или да купи сертификат. Пре три године, СтартЦом, који сада живи на дну океана, био је профитабилан, са њима никада није било проблема. У овом тренутку, минималну цену обезбеђује Цомодо, али, како се испоставило, постоји квака - за њих је програмер буквално нико и варање је нормална пракса.

Након скоро годину дана коришћења сертификата који сам купио средином 2018. године, Цомодо га је изненада, без претходног обавештења путем поште или телефона, опозвао без објашњења. Њихова техничка подршка не функционише добро – можда неће одговорити недељу дана, али су ипак успели да открију главни разлог – сматрали су да је издати сертификат потписао малвер. И ту је прича могла да се заврши, да не због једне ствари – никада нисам креирао малвер, а сопствене методе заштите ми дозвољавају да кажем да је немогуће украсти мој приватни кључ. Само Цомодо има копију кључа јер их издају без ЦСР-а. А онда – скоро две недеље безуспешних покушаја да се открије елементарни доказ. Компанија, која наводно гарантује безбедносну заштиту, одлучно је одбила да пружи доказе о кршењу њихових правила.

Од последњег ћаскања са техничком подршкомТи 01:20
Написали сте „Настојимо да одговоримо на стандардне карте за подршку у року од истог радног дана.“ али већ недељу дана чекам одговор.

Винсон 01:20
Здраво, добродошли у Сецтиго ССЛ валидацију!
Дозволите ми да проверим статус вашег случаја, сачекајте минут.
Проверио сам и налог је повучен због малвера/преваре/пецања од стране нашег вишег званичника.

Ти 01:28
Сигуран сам да је ово твоја грешка, па тражим доказ.
Никада нисам имао малвер/превару/пецање.

Винсон 01:30
Жао ми је, Александре. Двапут сам проверио и налог је повучен због малвера/преваре/пецања од стране нашег вишег званичника.

Ти 01:31
У ком фајлу сте видели вирус? Постоји ли веза за вирустотал? Не прихватам ваш одговор јер у њему нема доказа. Платио сам новац за ову потврду и имам право да знам зашто ми се новац одузима на силу.
Ако не можете да пружите доказ, онда је сертификат неправедно опозван и морате вратити новац. Иначе, шта значи ваш рад ако поништавате сертификате без доказа?

Винсон 01:34
Разумем твоју забринутост. Сертификат за потписивање кода је пријављен за дистрибуцију малвера. Према индустријским смерницама: Сецтиго као ауторитет за издавање сертификата је обавезан да опозове сертификат.
Такође, у складу са политиком рефундирања, нећемо моћи да извршимо рефундирање након 30 дана од датума издавања.

Ти 01:35
Зашто мислите да ово није грешка или лажно позитивно?

Винсон 01:36
Жао ми је, Александре. Према извештају наших виших званичника, налог је повучен због малвера/преваре/пецања.

Ти 01:37
Нема потребе да се извињавам, платио сам новац и желим да видим доказ да сам прекршио ваша правила. То је једноставно.
Платио сам три године, онда си смислио разлог и оставио ме без потврде и без доказа о мојој кривици.

Винсон 01:43
Разумем твоју забринутост. Сертификат за потписивање кода је пријављен за дистрибуцију малвера. Према индустријским смерницама: Сецтиго као ауторитет за издавање сертификата је обавезан да опозове сертификат.

Ти 01:45
Изгледа да не разумете. Где сте видели суд који доноси казну без доказа? Управо си то урадио. Никада нисам имао малвер. Зашто не пружите доказ ако јесте? Који конкретан доказ је опозив сертификата?

Винсон 01:46
Жао ми је, Александре. Према извештају наших виших званичника, налог је повучен због малвера/преваре/пецања.

Ти 01:47
Ко могу да сазнам прави разлог за одузимање сертификата?
Ако не можете да одговорите, реците ми коме да се обратим?

Винсон 01:48
Молимо вас да поново пошаљете карту користећи везу испод како бисте добили одговор што је раније могуће.
сецтиго.цом/суппорт-тицкет

Ти 01:48
Хвала.
Овај резултат није изолован, све време преговора у чету, у најбољем случају, одговарају исто, на тикете се или не одговара уопште, или су одговори исто тако бескорисни.

Поново правим картуМој захтев:
Тражим доказ да сам прекршио правило које је довело до опозива. Купио сам сертификат и желим да знам зашто ми узимају новац.
„малвер/превара/пецање“ није одговор! У ком фајлу сте видели вирус? Постоји ли веза за вирустотал? Молимо да доставите доказ или вратите новац, уморан сам од писања техничке подршке и чекам више од недељу дана.
Хвала.

Њихов одговор:
Сертификат за потписивање кода је пријављен за дистрибуцију малвера. Према индустријским смерницама: Сецтиго као ауторитет за издавање сертификата је обавезан да опозове сертификат.
Нада да није мајмун тај који ће ми одговорити је потпуно изгубљена. Појављује се занимљив дијаграм:

1. Продајемо сертификат.
2. Чекамо више од шест месеци да је немогуће отворити спор преко ПаиПал-а.
3. Позивамо се и чекамо следећу наруџбу. Профит!

Пошто немам друге методе утицаја на њих, могу само да јавно објавим њихову превару. Када купујете сертификат од Цомодо-а, такође познат као Сецтиго, можете наићи на исту ситуацију.

Ажурирање 9. јуна:
Данас сам обавестио ЦодеСигнЦерт (компанију преко које сам купио сертификат) да сам, пошто су престали да реагују, изнео ситуацију на јавну расправу линком на овај чланак. После неког времена, коначно су послали снимак екрана вирустотал, где је био видљив хеш програма ЕзвитУпд:
ВирусТотал - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

Моја процена ситуације:
Са сигурношћу могу рећи да је ово лажно позитивно. знаци:

1. Ознака Генеричка у већини случајева.
2. Без детекције од стране антивирусних лидера.

Тешко је рећи шта је тачно изазвало такву реакцију антивируса, али пошто је датотека веома застарела (направљена је пре скоро годину дана), нисам сачувао изворни код верзије 1.6.1 да бинарно рекреирао датотеку . Међутим, имам најновију верзију 1.6.5, и с обзиром на непроменљивост главне гране, тамо су направљене минималне промене, али нема таквих лажних позитивних резултата:
ВирусТотал - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

ЦодеСигнЦерт је обавештен о лажном позитивном резултату; када буду доступни даљи резултати преговора, чланак ће бити ажуриран док се ситуација у потпуности не реши.

Извор: ввв.хабр.цом