Zamieszanie spowodowane przez wydanie przez Symantec certyfikatów nie spełniających odpowiednich standardów wykrył jako pierwszy Andrew Ayer, szef i założyciel SSLMate. Jego firma zajmuje się konfiguracją i ułatwieniem procesu certyfikowania strony WWW. Oprócz tego pozwala na zarządzenie wieloma certyfikatami w przypadku większych podmiotów gospodarczych, posiadających kilkadziesiąt różnych domen. W związku z tym komunikat Ayera, że Symantec złamał podstawowe zasady certyfikacji stron, można uznać za uzasadnione.

Zbytnia rutyna jest grzechem

Patrząc na wyniki śledztwa Ayera można złapać się za głowę. Jedna z największych firm cyberbezpieczeństwa, jeszcze w tym roku wydała nieznanym właścicielom domen certyfikaty za pomocą swoich centrali. Łącznie Symantec wydał 108 takich poświadczeń o korzystaniu z bezpiecznego połączenia.

Błąd firmy polega na niedokładnym sprawdzeniu kto jest właścicielem domen, które poprosiły o wydanie certyfikatu bezpieczeństwa. Dokładnie 99 z nich, zostało wydanych bez dokładnego sprawdzenia, czy właściciel domeny faktycznie istnieje, 9 z nich zostało wydane bez weryfikacji do kogo należą dane adresy internetowe. Duża część certyfikatów wydanych przez Symantec zawierała słowa „test” świadczące o tym, że pracownik CA nie dokończył pełnego procesu nadania certyfikatu. Po opublikowaniu wiadomości przez Ayera, wszystkie certyfikaty nie spełniające norm zostały wycofane.

Do trzech razy sztuka

Jest to kolejne takie zdarzenie z udziałem centr certyfikacji należących do Symantec. W 2015 z powodu nieumiejętnego operowania całym procesem prace straciło co najmniej kilka osób. Ten sam błąd pojawił się w przypadku domen opisanych przez Ayera na prywatnym blogu. Problem wydaję się tkwić nie tylko w rutynie pracowników, którzy zaakceptowali proces samej certyfikacji, ale także procesie automatyzacji przyznawania.

Jednym z problemów w czasie poświadczania, że dana strona posiada odpowiedni poziom zabezpieczenia zgodny z standardem TSL/SSL jest proces weryfikacji adresu e-mail. Opiera on się w wielu firmach sprzedających certyfikaty na prostym skanowaniu informacji z who.is. Jeżeli adres e-mail nie zawiera znaków specjalnych jak +, =, !, #, {, `, czy ^ nie powinien istnieć problem. Ayer potwierdza jednak, że dodanie + w polu adresu zupełnie zmienia dalszy proces.

Najmniejszy szczegół jest ważny

W jednym przypadku poprosił on o certyfikacje strony cloudpork.com, podając na stronie who.is adres e- mail alice+bob@cloudpork.com. RapidSSL, pobrało te informacje, przypisując domenę do skrzynki pocztowej bob@cloudpork.com. Rodziło to zdaniem Ayera poważne konsekwencje związane z przypisaniem stron, do adresów e-mail nieodpowiedzialnych za administracje.

Akurat ten problem został rozwiązany. Pokazuje to jednak jak trudny jest to proces i w jak wielu miejscach, nawet największe firmy mogą napotkać problemy. Szczególnie, jeżeli nie są przestrzegane podstawowe procedury lub pracownicy za nic mają ciężko wypracowane standardy. Symantec poważnie potraktował sprawę i od samego początku starał się odnaleźć jego przyczynę, świadczy o tym jego zaangażowanie w rozwiązanie problemu.

Zapis wymiany maili pomiędzy fundacją Mozilla, Ayerem, Google a przedstawicielami Symantec można znaleźć w ogólnodostępnym archiwum.

--

* - Linki afiliacyjne. Kupując książki poprzez te linki wspierasz funkcjonowanie redakcji Dziennika Internautów.