Pracowników Symantec zgubiła rutyna?

02-02-2017, 14:48

Według badaczy bezpieczeństwa, trzy centra certyfikacji (CA) należące do Symantec wydały ponad 100 nieprawidłowych certyfikatów bezpieczeństwa. Część z nich została wykorzystana do fałszywego oznaczenia stron, które w rzeczywistości nie spełniały norm protokołu HTTPS.

Zamieszanie spowodowane przez wydanie przez Symantec certyfikatów nie spełniających odpowiednich standardów wykrył jako pierwszy Andrew Ayer, szef i założyciel SSLMate. Jego firma zajmuje się konfiguracją i ułatwieniem procesu certyfikowania strony WWW. Oprócz tego pozwala na zarządzenie wieloma certyfikatami w przypadku większych podmiotów gospodarczych, posiadających kilkadziesiąt różnych domen. W związku z tym komunikat Ayera, że Symantec złamał podstawowe zasady certyfikacji stron, można uznać za uzasadnione.

Zbytnia rutyna jest grzechem

Patrząc na wyniki śledztwa Ayera można złapać się za głowę. Jedna z największych firm cyberbezpieczeństwa, jeszcze w tym roku wydała nieznanym właścicielom domen certyfikaty za pomocą swoich centrali. Łącznie Symantec wydał 108 takich poświadczeń o korzystaniu z bezpiecznego połączenia.

Błąd firmy polega na niedokładnym sprawdzeniu kto jest właścicielem domen, które poprosiły o wydanie certyfikatu bezpieczeństwa. Dokładnie 99 z nich, zostało wydanych bez dokładnego sprawdzenia, czy właściciel domeny faktycznie istnieje, 9 z nich zostało wydane bez weryfikacji do kogo należą dane adresy internetowe. Duża część certyfikatów wydanych przez Symantec zawierała słowa „test” świadczące o tym, że pracownik CA nie dokończył pełnego procesu nadania certyfikatu. Po opublikowaniu wiadomości przez Ayera, wszystkie certyfikaty nie spełniające norm zostały wycofane.

Do trzech razy sztuka

Jest to kolejne takie zdarzenie z udziałem centr certyfikacji należących do Symantec. W 2015 z powodu nieumiejętnego operowania całym procesem prace straciło co najmniej kilka osób. Ten sam błąd pojawił się w przypadku domen opisanych przez Ayera na prywatnym blogu. Problem wydaję się tkwić nie tylko w rutynie pracowników, którzy zaakceptowali proces samej certyfikacji, ale także procesie automatyzacji przyznawania.

Jednym z problemów w czasie poświadczania, że dana strona posiada odpowiedni poziom zabezpieczenia zgodny z standardem TSL/SSL jest proces weryfikacji adresu e-mail. Opiera on się w wielu firmach sprzedających certyfikaty na prostym skanowaniu informacji z who.is. Jeżeli adres e-mail nie zawiera znaków specjalnych jak +, =, !, #, {, `, czy ^ nie powinien istnieć problem. Ayer potwierdza jednak, że dodanie + w polu adresu zupełnie zmienia dalszy proces.

Zobacz także:

Network Security with OpenSSL. Cryptography for Secure Communications

Most applications these days are at least somewhat network aware, but how do you protect those applications against common network security threats? Many developers are turning to OpenSSL, an open source version of SSL/TLS, which is the most widely used protocol for secure network communications.*

Najmniejszy szczegół jest ważny

W jednym przypadku poprosił on o certyfikacje strony cloudpork.com, podając na stronie who.is adres e- mail alice+bob@cloudpork.com. RapidSSL, pobrało te informacje, przypisując domenę do skrzynki pocztowej bob@cloudpork.com. Rodziło to zdaniem Ayera poważne konsekwencje związane z przypisaniem stron, do adresów e-mail nieodpowiedzialnych za administracje.

Akurat ten problem został rozwiązany. Pokazuje to jednak jak trudny jest to proces i w jak wielu miejscach, nawet największe firmy mogą napotkać problemy. Szczególnie, jeżeli nie są przestrzegane podstawowe procedury lub pracownicy za nic mają ciężko wypracowane standardy. Symantec poważnie potraktował sprawę i od samego początku starał się odnaleźć jego przyczynę, świadczy o tym jego zaangażowanie w rozwiązanie problemu.

Zapis wymiany maili pomiędzy fundacją Mozilla, Ayerem, Google a przedstawicielami Symantec można znaleźć w ogólnodostępnym archiwum.

--

* - Linki afiliacyjne. Kupując książki poprzez te linki wspierasz funkcjonowanie redakcji Dziennika Internautów.


  
znajdź w serwisie

RSS - Wywiad
Wywiad  
RSS - Interwencje
RSS - Porady
Porady  
RSS - Listy
Listy  
« Wrzesień 2019»
PoWtŚrCzwPtSbNd
 1
2345678
9101112131415
16171819202122
23242526272829
30