Kan du förestÀlla dig att ett storföretag skulle lura sina kunder, sÀrskilt om det företaget utger sig för att vara en garant för sÀkerhet? Det kunde inte jag förrÀn nyligen. Denna artikel Àr en varning för att du ska tÀnka tio gÄnger innan du köper ett certifikat för kodsignering frÄn Comodo.
Genom mitt arbete (systemadministration) skapar jag olika anvÀndbara program som jag aktivt anvÀnder i mitt arbete och som jag dessutom fritt delar med alla intresserade. För cirka tre Är sedan uppstod behovet av att signera program, annars kunde inte alla mina kunder och anvÀndare ladda ner dem utan problem bara för att de inte var signerade. Signering har lÀnge varit en normal praxis och det spelar ingen roll hur sÀker programvaran Àr, men om den inte Àr signerad kommer den att fÄ extra uppmÀrksamhet:
- WebblÀsaren samlar statistik över hur ofta en fil laddas ner, och nÀr den inte Àr signerad kan den i ett tidigt skede till och med blockeras "bara för att" och krÀva att anvÀndaren ger uttryckligt godkÀnnande för att spara den. Algoritmerna kan variera, ibland kan Àven domÀnen betraktas som betrodd, men i stort sett Àr en giltig signatur bekrÀftelsen pÄ sÀkerhet.
- Efter nedladdning kontrollerar antivirusprogrammet filen och inför körning kontrollerar sjĂ€lva operativsystemet. För antivirusprogram Ă€r signaturen ocksĂ„ av stor betydelse, vilket Ă€r lĂ€tt att se pĂ„ virustotal, och nĂ€r det gĂ€ller operativsystem, som frĂ„n och med Win10 blockeras en fil med ett Ă„terkallat certifikat omedelbart och kan inte startas frĂ„n filhanteraren. Dessutom Ă€r det i vissa organisationer helt förbjudet att köra osignerad kod (det kan stĂ€llas in med systemverktyg), och det Ă€r berĂ€ttigat â alla seriösa utvecklare har lĂ€nge sett till att deras program kan kontrolleras utan extra anstrĂ€ngning.
Generellt sett Ă€r riktningen rĂ€tt vald â att göra internet sĂ„ sĂ€kert som möjligt för oerfarna anvĂ€ndare i den mĂ„n det Ă€r möjligt. Men sjĂ€lva implementeringen Ă€r fortfarande lĂ„ngt ifrĂ„n perfekt. En vanlig utvecklare kan inte bara fĂ„ ett certifikat; det mĂ„ste köpas frĂ„n företag som har monopoliserat denna marknad och dikterar sina egna villkor. Men vad hĂ€nder om programmen Ă€r gratis? Det bekymrar ingen. DĂ„ har utvecklaren ett val â att stĂ€ndigt bevisa sĂ€kerheten i sina program, pĂ„ bekostnad av anvĂ€ndarvĂ€nlighet, eller att köpa ett certifikat. För tre Ă„r sedan var StartCom lönsamt, men nu Ă€r de nere pĂ„ havets botten; det var aldrig nĂ„gra problem med dem. För nĂ€rvarande erbjuder Comodo det lĂ€gsta priset, men som det visade sig finns det en hake â för dem Ă€r utvecklaren i princip ingen och att lura denne Ă€r en normal praktik.
Efter nĂ€stan ett Ă„r med certifikatet som jag köpte i mitten av 2018, drog Comodo plötsligt tillbaka det utan förvarning via e-post eller telefon, utan att ge nĂ„gon förklaring. Deras support fungerar dĂ„ligt â de kan ta en vecka att svara, men jag lyckades Ă€ndĂ„ ta reda pĂ„ huvudorsaken â de bedömde att det utfĂ€rdade certifikatet hade anvĂ€nts för att signera skadlig kod. Och hĂ€r skulle historien kunnat sluta, om det inte vore för en sak â jag har aldrig skapat skadlig kod, och mina egna skyddsĂ„tgĂ€rder gör att jag kan pĂ„stĂ„ att det inte Ă€r möjligt att stjĂ€la min privata nyckel. En kopia av nyckeln har endast Comodo, eftersom de utfĂ€rdar dem utan CSR. Och dĂ€refter â nĂ€stan tvĂ„ veckor av fruktlösa försök att fĂ„ ett enkelt bevis. Företaget, som pĂ„stĂ„r sig garantera sĂ€kerhet inom sĂ€kerhetsomrĂ„det, vĂ€grade kategoriskt att ge bevis pĂ„ övertrĂ€delse av deras regler.
FrÄn den senaste chatten med supportenDu 01:20
Du har skrivit «Vi strÀvar efter att svara pÄ standard supportÀrenden inom samma arbetsdag.» men jag har vÀntat pÄ svar i en vecka nu.
Vinson 01:20
Hej, vÀlkommen till Sectigo SSL Validering!
LÄt mig kontrollera din Àrendestatus, var god hÄll ett ögonblick.
Jag har kontrollerat och bestÀllningen har blivit Äterkallad pÄ grund av skadlig kod / bedrÀgeri / phishing av vÄra högre tjÀnstemÀn.
Du 01:28
Jag Àr sÀker pÄ att det hÀr Àr ert misstag, sÄ jag ber om bevis.
Jag har aldrig haft skadlig kod / bedrÀgeri / phishing.
Vinson 01:30
Jag Àr ledsen, Alexander. Jag har dubbelkontrollerat, och bestÀllningen har Äterkallats pÄ grund av skadlig kod / bedrÀgeri / phishing av vÄra högre tjÀnstemÀn.
Du 01:31
I vilken fil sÄg du viruset? Finns det en lÀnk till virustotal? Jag accepterar inte ditt svar eftersom det inte finns nÄgot bevis. Jag betalade pengar för detta certifikat, och jag har rÀtt att veta varför mina pengar tas ifrÄn mig med tvÄng.
Om du inte kan ge bevis, sÄ har certifikatet Äterkallats orÀttvist och pengarna mÄste Äterbetalas. Annars, vad Àr meningen med ditt arbete om du Äterkallar certifikat utan bevis?
Vinson 01:34
Jag förstÄr din oro. Kodsigneringscertifikatet har rapporterats för att sprida skadlig programvara. Enligt branschriktlinjer: Sectigo som certifikatutfÀrdare Àr skyldig att Äterkalla certifikatet.
Enligt Äterbetalningspolicy, kan vi inte Äterbetala efter 30 dagar frÄn utfÀrdandedatum.
Du 01:35
Varför anser du att detta inte Àr ett misstag eller ett falskt positivt resultat?
Vinson 01:36
Jag Àr ledsen, Alexander. Enligt rapporten frÄn vÄra högre tjÀnstemÀn har bestÀllningen Äterkallats pÄ grund av skadlig programvara/bedrÀgeri/phishing.
Du 01:37
Det Àr ingen mening med att be om ursÀkt, jag har betalat pengarna och jag vill se bevis pÄ att jag bröt mot era regler. Det Àr enkelt.
Jag betalade för tre Är, sedan kom ni med en anledning och lÀmnade mig utan certifikat och utan bevis pÄ min skuld.
Vinson 01:43
Jag förstÄr din oro. Kodsigneringscertifikatet har rapporterats för att sprida skadlig programvara. Enligt branschriktlinjer: Sectigo som certifikatutfÀrdare Àr skyldig att Äterkalla certifikatet.
Du 01:45
Det verkar som om du inte förstÄr. Var sÄg du domstolen som utdelar straff utan bevis? Ni gjorde precis sÄ. Jag har aldrig haft skadlig programvara. Varför ger ni inte bevis om det Àr sÄ? Vad Àr det specifika beviset för att ett certifikat Äterkallas?
Vinson 01:46
Jag Àr ledsen, Alexander. Enligt rapporten frÄn vÄra högre tjÀnstemÀn har bestÀllningen Äterkallats pÄ grund av skadlig programvara/bedrÀgeri/phishing.
Du 01:47
Vem kan jag vÀnda mig till för att ta reda pÄ den verkliga anledningen till Äterkallelsen av certifikatet?
Om du inte kan svara, sÀg mig vem jag ska kontakta?
Vinson 01:48
VÀnligen skicka en biljett igen med hjÀlp av lÀnken nedan sÄ att du ska fÄ ett svar sÄ snart som möjligt.
Du 01:48
Tack.
Det hÀr resultatet Àr inte unikt, under hela samtalet i chatten svarar de i bÀsta fall pÄ samma sak, pÄ biljetter svarar de antingen inte alls eller svaren Àr lika meningslösa.
Jag skapar en biljett igenMin begÀran:
Jag krÀver bevis pÄ att jag bröt mot en regel som ledde till Äterkallelsen. Jag köpte ett certifikat och vill veta varför mina pengar tas frÄn mig.
«skadlig programvara/bedrÀgeri/phishing» Àr inte svaret! I vilken fil sÄg ni viruset? Finns det en lÀnk till virustotal? VÀnligen ge bevis eller Äterbetala pengarna, jag Àr trött pÄ att skriva till teknisk support och har vÀntat i mer Àn en vecka.
Tack.
Deras svar:
Kodsigneringscertifikatet har rapporterats för att sprida skadlig programvara. Enligt branschriktlinjer: Sectigo som certifikatutfÀrdare Àr skyldig att Äterkalla certifikatet.
Hoppet om att jag fÄr svar frÄn en riktig person försvinner helt. En intressant situation vÀxer fram:
- Vi sÀljer certifikatet.
- Vi vÀntar mer Àn ett halvÄr, sÄ att det inte gÄr att öppna en tvist via PayPal.
- Vi Äterkallar och vÀntar pÄ nÀsta bestÀllning. Vinst!
Eftersom jag inte har nÄgra andra metoder för pÄverkan kan jag bara avslöja deras bedrÀgeri. NÀr du köper ett certifikat frÄn Comodo, som ocksÄ Àr Sectigo, kan du hamna i en liknande situation.
Uppdatering den 9 juni:
Idag meddelade jag CodeSignCert (företaget dÀr jag köpte certifikatet) att eftersom de har slutat svara, har jag tagit upp situationen för offentlig diskussion med hÀnvisning till denna artikel. Efter en tid skickade de Àntligen en skÀrmdump frÄn virustotal dÀr hashkoden för programmet var synlig. :
VirusTotal â
Min bedömning av situationen:
Jag kan med sÀkerhet sÀga att detta Àr ett falskt positivt resultat. Tecken:
- Beteckningen Generic i de flesta falska larm.
- Avsaknad av falska larm frÄn antivirusledarna.
Det Àr svÄrt att sÀga vad som exakt orsakade denna reaktion frÄn antivirusprogram, men eftersom filen Àr mycket gammal (den skapades för nÀstan ett Är sedan), har jag inte kvar kÀllfilen för version 1.6.1 för att Äterskapa filen binÀrt. DÀremot har jag den senaste versionen 1.6.5, och med tanke pÄ att huvudgrenen förblivit oförÀndrad har Àndringarna varit minimala, men för den finns det inget sÄdant falskt larm:
VirusTotal â
CodeSignCert har informerats om det falska larmet, och efter ytterligare förhandlingsresultat kommer artikeln att uppdateras tills situationen Àr helt löst.
KĂ€lla: habr.com
