По-настоящему детективная история развернулась в последние месяцы вокруг компании DarkMatter, которая подала заявку на включение своего центра сертификации в доверенное корневое хранилище сертификатов Mozilla. Дело в том, что это не простая компания, а разработчик «шпионского» программного обеспечения из ОАЭ. Ранее она была замечена в покупке 0day-эксплоитов. В принципе, само по себе это не преступление. Многие компании, в том числе российские, занимаются созданием хакерского инструментария с использованием 0day. Они продают эти программы, например, правоохранительным органам для взлома телефонов (криминалистическая экспертиза) или скрытой установки троянов (оперативное наблюдение). Но общепринятые правила таковы, что хакерские фирмы сотрудничают только с демократическими правительствами, то есть стоят «на стороне добра».
Страсти накалились в феврале 2019 года, когда вышло расследование Reuters, что DarkMatter продавала софт репрессивным режимам на Ближнем Востоке.
Mozilla мгновенно оказалась под давлением.
Доверенное корневое хранилище сертификатов Mozilla используется в том числе некоторыми дистрибутивами Linux. Многие боялись, что попав в Mozilla Root Store, компания DarkMatter начнёт выдавать TLS-сертификаты, которые могут использоваться для перехвата интернет-трафика пользователей. Такие случаи уже были в странах с репрессивными режимами, хотя DarkMatter заявляет, что никогда не участвовала в подобных операциях. Хотя сейчас проблема могла затронуть только определённые Linux-системы, но именно Linux работает на серверах облачных провайдеров и разворачивается в дата-центрах. В обсуждении ситуации на Google Groups представители DarkMatter заверяли, что никогда не собираются делать ничего подобного.
В тоже время сертификаты DarkMatter подверглись пристальному рассмотрению. И быстро обнаружилась странность: для последовательных номеров сертификатов использовались случайные числа из 63-битного пространства вместо 64-битного, как положено по спецификации. Это нарушает требования требования CA/B Forum по минимальной энтропии (64 бита). Таким образом, у Mozilla появились формальные основания отказать «шпионам» во включении в доверенное хранилище сертификатов.
Однако выяснилось, что подобное нарушение допустила не только DarkMatter, но с десяток удостоверяющих центров, в том числе GoDaddy, Apple и Google. Причина в том, что все пострадавшие УЦ использовали популярное open source PKI-решение EJBCA с неправильными настройками.
Начался массовый отзыв от ведущих центров. Процедура заняла длительное время (до 30 дней) из-за огромного количества сертификатов. Им пришлось нарушить RFC5280, который обязывает отзывать некорректные сертификаты в пятидневный срок. В итоге, по некоторым оценкам, было отозвано несколько миллионов штук.
Вот так шпионская фирма DarkMatter сделала хорошее дело: помогла обнаружить серьёзную криптографическую уязвимость. Но сама оказалась пострадавшей. На самом деле обвинения в расследовании Reuters не имеют под собой серьёзных оснований: возможно, это просто домыслы журналиста. Однако её заявку на включение в доверенное корневое хранилище Mozilla уже отклонили, чем представители фирмы искренне возмущены. И некоторые с ними согласны.
«Странная ситуация. С одной стороны, отказ в заявке DarkMatter на основании этих статей в прессе создаст прецедент отказа в очевидной добросовестности члена индустрии на основании только слухов и без доказательств, — пишет известный специалист по безопасности Надим Кобейсси. — С другой стороны, решив действовать добросовестно, прозрачно и на фактических доказательствах, мы в реальности рискуем долгосрочно подорвать доверие общественности к процессу включения УЦ.
Мне действительно кажется, что оба решения нанесут ущерб. В первом случае это будет выглядеть дискриминационным (и даже немного ксенофобным)… а во втором возникнет серьёзное облако неопределённости над безопасностью корневого каталога УЦ в целом. И я даже не знаю, как кто-то может хотя бы когда-нибудь рассеять его.
Как сторонний наблюдатель, я искренне не знаю, что делать Mozilla в данный момент…
На самом деле хотелось бы, чтобы против DarkMatter были опубликованы серьёзные доказательства выдвинутых обвинений (если он существуют). Они помогли бы Mozilla занять прочную оборонительную позицию».
По мнению специалистов из индустрии SSL/PKI, внезапный отзыв сертификатов также демонстрирует важную роль автоматизации в управлении сертификатами компаний. Ведь фактически у вас могут отозвать сертификат в любой момент из-за такого критического события.
Хорошо, если это сертификат на одном сервере, но проблема становится серьёзной, если у вас мгновенно отзывают сотни сертификатов на IoT-устройствах. А если это тысячи устройств, десятки тысяч? Чтобы решить такую проблему, GlobalSign заключила соглашение о технологическом партнёрстве с фирмой Xage Security. Она будет внедрять систему автоматического управления сертификатами IoT Identity Platform, способную выдавать 3000 сертификатов в секунду.
Присоединяйтесь сегодня к разработчикам, новаторам в сфере интернета вещей и управляйте различными IoT-устройствами на основе PKI с решениями от GlobalSign.
Необходимо больше информации? Мы всегда рады проконсультировать вас по телефону +7 499-678-2210.
Автор: GlobalSign_admin
