👨‍👩‍👦‍👦 🧑🏽 🙄 मोज़िला और एप्पल WoSign और StartCom प्रमाणन प्राधिकरणों पर प्रतिबंध लगा देंगे 👌🏽 🥙 🥦

मोज़िला द्वारा की गई एक जांच से पता चला है कि पिछले कुछ वर्षों में चीनी प्रमाणन केंद्र WoSign (जिसके बारे में Habré पर मुफ़्त प्रमाण पत्र के लिए कई लेख थे ) ने उल्लंघन की एक प्रमुख मात्रा में अपराध किया है।

2015

यह trifles के साथ शुरू हुआ: Google ने प्रमाणपत्रों की निरंतर निगरानी के दौरान, समान सीरियल नंबरों के साथ प्रमाण पत्र के दोहराया मुद्दे पर ध्यान दिया, जो औपचारिक रूप से मानकों का उल्लंघन है। नियमों से अन्य छोटे विचलन नोट किए गए थे।

यह कुछ भी गंभीर नहीं लगेगा। लेकिन यह अपने आप में प्रमाणन केंद्र के लिए एक संकेत है कि क्या हो रहा है और सत्यापन तंत्र स्थापित करने पर ध्यान दिया जाए। हालांकि, WoSign द्वारा लागू प्रमाण पत्र जारी करने की नीति अपने स्वयं के अभ्यास के पीछे है। पूर्वव्यापी रूप से सुचारू रूप से चलाने और विचलन को सही ठहराने के लिए घटनाओं के बाद नीतिगत बदलाव किए गए थे।

इसके अलावा, जाँच के दौरान कमियों का पता चला "क्या प्रमाण पत्र प्राप्त करने वाला उस डोमेन का मालिक है जिसके लिए वह प्रमाणपत्र का अनुरोध कर रहा है।" अपने आप से, वे महत्वपूर्ण नहीं हैं, वे अभी भी हमलावरों को एक प्रमाण पत्र जारी करने को सरल बना सकते हैं। उदाहरण के लिए, डोमेन स्वामित्व सत्यापन डायनेमिक पोर्ट (50,000 से ऊपर) का उपयोग करके किया जा सकता है। मोज़िला की राय है कि केवल विशेषाधिकार प्राप्त बंदरगाहों (1024 और नीचे) का उपयोग करके प्रमाण पत्र जारी किए जाने चाहिए। उसी समय, WoSign ने उपयोग किए गए पोर्ट नंबरों को लॉग नहीं किया, इसलिए, समस्या के पैमाने का पूरी तरह से अनुमान नहीं लगाया जा सकता है।

गंभीर कमजोरियों का पालन किया। पहलेएक हमलावर को अनुमति देता है जो पूरे डोमेन के लिए एक प्रमाण पत्र प्राप्त करने के लिए एक उपडोमेन का मालिक है। जिस शोधकर्ता ने इसकी खोज की, वह GitHub (उदाहरण के लिए, test.imtqy.com), Microsoft और अलीबाबा से डमी प्रमाणपत्र प्राप्त करने में सक्षम था। WoSign 14 महीनों के लिए भेद्यता के बारे में जानता था, लेकिन इसे ठीक नहीं किया, खुद को डोमेन नाम में "गीथब" वाले प्रमाणपत्रों को रद्द करने के लिए सीमित कर दिया। गलत प्रमाणपत्र जारी करना जारी रहा। कंपनी प्रभावित डोमेन के मालिकों से अनुरोध के मामले में शेष समस्या प्रमाणपत्र को रद्द करने के लिए सहमत है।

दूसरी भेद्यता वास्तव में महाकाव्य थी। डोमेन स्वामित्व चेक को सफलतापूर्वक पास करने के बाद, हमलावर किसी भी विदेशी डोमेन को चेक किए गए डोमेन की सूची में जोड़ने में सक्षम था। बिल्कुल किसी भी। पहले से ही बिना किसी सत्यापन के।

जैसे कि वह पर्याप्त नहीं था, WoSign ने गुप्त रूप से इजरायल के StartCom प्रमाणन प्राधिकरण का अधिग्रहण किया। इसके अलावा, जब मोज़िला के लोगों ने संकेत दिया कि "यह करना अच्छा नहीं है" (और इसे हल्के ढंग से रखने के लिए, इस तरह के कवर-अप मोज़िला की नीतियों का उल्लंघन करते हैं ), WoSign ने सब कुछ से इनकार करना शुरू कर दिया और इस जानकारी के प्रकाशन को रोकने की कोशिश की ।

जब यह स्पष्ट हो गया कि आप बैग में सिलाई छिपा नहीं सकते हैं, तो कंपनी ने एक प्रेस विज्ञप्ति जारी की, "StartCom में निवेश करना" स्वीकार करना। एक ही समय में, StartCom के एकमात्र नेता और, एक ही समय में, WoSign के सीईओ एक ही व्यक्ति हैं। तकनीकी सबूत भी है कि StartCom (वर्तमान में) WoSign बुनियादी ढांचे का सबसे अधिक उपयोग करता है। कंपनियों के लिए बहुत सारे संयोग हैं, जो कि एक WoSign प्रेस विज्ञप्ति के अनुसार, "संचालित होते हैं और स्वतंत्र रूप से प्रबंधित होते हैं।"

2016

WoSign ने अगले वर्ष जनवरी के मध्य में SHA-1 प्रमाणपत्रों को अप्रत्यक्ष रूप से जारी करने के साथ शुरू किया। एक महीने पहले की तारीख "फिर से आना"। इसने लोकप्रिय ब्राउज़रों द्वारा प्रमाण पत्र को अवरुद्ध करने से बचने के लिए संभव बनाया, जो 2016 के बाद से केवल SHA-2 प्रमाणपत्र स्वीकार करने के लिए सहमत हो गया, क्योंकि कंप्यूटिंग शक्ति की वृद्धि के कारण, SHA-1 एल्गोरिथ्म पहले से ही जमीन खो रहा है और इसे काफी मजबूत नहीं माना जाता है । कैब फोरम के प्रलेखन को स्पष्ट रूप से विनियमित किया गया है - 2016 के बाद से, प्रमाणन अधिकारियों को एसएचए -1 का उपयोग करके प्रमाण पत्र जारी नहीं करना चाहिए:

1 जनवरी 2016 से प्रभावी, CAs को किसी भी नए सब्सक्राइबर प्रमाणपत्र या अधीनस्थ CA प्रमाणपत्र SHA - 1 हैश एल्गोरिथ्म का उपयोग करके जारी नहीं करना चाहिए।

हम WoSign की लापरवाही के कारण तीन प्रमाणपत्रों को उजागर करने में कामयाब रहे: उनमें से तीन में कार्यान्वित STC- लेबल (हस्ताक्षरित प्रमाण पत्र टाइमस्टैम्प) ने जनवरी 2016 के मध्य में संकेत दिया, जो स्पष्ट रूप से इंगित करता है कि इस समय सीमा से पहले प्रमाण पत्र नहीं बनाए जा सकते हैं।

एक और 62 प्रमाण पत्र इस तथ्य के कारण सामने आए कि उन्हें रविवार को जारी किया गया था। यह WoSign के लिए पूरी तरह से अव्यावहारिक है - एक सप्ताहांत पर, चीन में कर्मचारी काम नहीं करते हैं और प्रमाण पत्र जारी नहीं किए जाते हैं। तारीख के फर्जीवाड़े के अन्य अप्रत्यक्ष सबूत थे।

जुलाई में, StartCom ने अपनी StartEncrypt सेवा के साथ अलग पहचान बनाई , जो कि लोकप्रिय लेट्स एनक्रिप्ट की प्रतिक्रिया के रूप में शुरू की गई थी। स्वचालित सत्यापन के अंत में POST अनुरोध के केवल एक पैरामीटर को बदलकर, यह सुनिश्चित करना संभव था कि प्रमाणपत्र "StartCom Class 1 DV Server CA" से हस्ताक्षरित नहीं था, लेकिन "WoSign CA Free SSL Certificate G2" या यहां तक कि "CA 通通 of" (एक और WoSign रूट प्रमाणपत्र)। StartCom द्वारा जारी किए गए इन प्रमाणपत्रों में से कुछ और WoSign CA Free SSL Certificate G2 द्वारा हस्ताक्षर किए गए थे, जो कि रेट्रोएक्टेड रूप से दिनांकित थे।

औपचारिक रूप से, पूर्वव्यापी रिहाई निषिद्ध नहीं है, लेकिन यह एक शातिर अभ्यास है। WoSign ने हर तरह से इनकार कर दिया कि उसने इन प्रमाणपत्रों की रिलीज़ की तारीख को रोक दिया था। उसके प्रतिनिधियों ने दावा किया कि इस समय तक उन्होंने पहले से ही "लड़ाई" सर्वर से संबंधित कोड को हटा दिया था, जिसने तारीख को गलत ठहराया था। लेकिन फिर कैसे StartCom लोग कोड का उपयोग कर सकते थे जो कि WoSign ने भी उपयोग करना बंद कर दिया था?

सामान्य तौर पर, यह एपिसोड प्रोग्रामर के लिए देखभाल की कमी को दर्शाता है - यदि आप प्रमाण पत्र जारी करने जैसी महत्वपूर्ण प्रक्रिया में खतरनाक कोड छोड़ते हैं, तो यह जल्दी या बाद में "आग" देगा। जो हुआ वही हुआ।

इसके अलावा, सवाल यह है कि, StartCom इतनी स्वतंत्र रूप से WoSign की ओर से एक प्रमाण पत्र कैसे जारी कर सकता है? आखिरकार, WoSign के सीईओ ने सभी को आश्वासन दिया कि कंपनियां पूरी तरह से स्वतंत्र रूप से काम करती हैं।

अधिक - अधिक: StartEncrypt में महत्वपूर्ण कमजोरियाँ मिलीं। किसी भी मौजूदा फ़ाइल के लिए पथ निर्दिष्ट करने के लिए डोमेन पर नियंत्रण की पुष्टि के रूप में अनुमति दी गई है। उदाहरण के लिए, फ़ाइल को ड्रॉपबॉक्स पर अपलोड करें और इसके लिए पथ निर्दिष्ट करें। परिणाम dropbox.com के लिए एक प्रमाण पत्र होगा। एक अन्य भेद्यता का उपयोग करते हुए, एक हमलावर OAuth 2.0 (google.com, facebook.com, paypal.com, linkedin.com, login.live.com) का समर्थन करने वाली किसी भी साइट के लिए एक प्रमाण पत्र प्राप्त कर सकता है।

और अंत में, सितंबर 2016 में, समुदाय के किसी व्यक्ति ने देखा कि WoSign रिपोर्टों में से एक से जुड़े स्क्रीनशॉट में, बाइंड-बर्तन पैकेज से खुदाई उपयोगिता आउटपुट पर प्रकाश डाला गया था। इस उपयोगिता का संस्करण 9.7.3-8.P3.el6 है। "El6" का अर्थ है "Red Hat Enterprise Linux 6"। बेशक, RHEL6 का समर्थन केवल 2016 में समाप्त होता है, लेकिन इसमें बाइंड-बर्तनों का वर्तमान संस्करण 9.8.2-0.47.rc1.el6 है। और "9.7.3-8.P3.el6" 2011 से सीधे अपरिवर्तित पैकेज से मेल खाता है। पिछले पांच वर्षों में, 19 कमजोरियों को अपस्ट्रीम में बंद कर दिया गया है। उनमें से कोई भी महत्वपूर्ण नहीं होने दें, अनजाने में खुद से एक सवाल पूछें - शायद इतने सालों तक वो केवल एक सर्वर, लेकिन पूरे बुनियादी ढांचे को अपडेट करने के लिए परेशान नहीं हुए?

और इसका परिणाम क्या है?

Moziila ने नए WoSign और StartCom प्रमाणपत्रों पर एक साल के लिए भरोसा करना बंद करने का फैसला किया। पहले जारी किए गए, अच्छे या बुरे, मान्य रहते हैं। जारी किए गए वर्ष के लिए, प्रमाणीकरण अधिकारियों को सभी कमियों को ठीक करना चाहिए, और फिर चेक की एक श्रृंखला से गुजरना चाहिए। अन्यथा, उनके प्रमाण पत्र हमेशा के लिए अवरुद्ध हो जाएंगे।

Apple ने इस रिपोर्ट को पढ़ते हुए घोषणा की कि iOS और macOS ने अनिश्चितकालीन प्रमाण पत्रों पर भरोसा करना बंद कर दिया है जो 19 सितंबर, 2016 के बाद जारी किए गए थे। चूंकि WoSign रूट सर्टिफिकेट Apple उत्पादों पर प्रीइंस्टॉल्ड नहीं हैं, इसलिए StartCom और Comodo द्वारा WoSign द्वारा इस्तेमाल किए जाने वाले इंटरमीडिएट सर्टिफिकेट पर प्रतिबंध लगा दिया जाएगा।

ब्राउज़र बाज़ार (Google और Microsoft) में शेष सबसे बड़े खिलाड़ियों की प्रतिक्रिया अभी भी अज्ञात है।

11 अक्टूबर, 2016 तक अपडेट: चीनी कंपनी Qihoo 360, जो दोनों प्रमाणीकरण अधिकारियों का मालिक है, पूरी तरह से WoSign और StartCom को अलग करने के लिए सहमत हुई , और फिर सभी आवश्यक जांचों से गुजरती हैं। इसके अलावा, WoSign के प्रमुख को पद से हटा दिया गया है।

26 अक्टूबर , 2016 तक अपडेट: फ़ायरफ़ॉक्स 51 के साथ शुरू, 21 अक्टूबर 2016 के बाद WoSign और StartCom द्वारा जारी किए गए प्रमाण पत्र को अमान्य माना जाएगा। SHA-1 का उपयोग कर प्रमाण पत्र और पूर्वव्यापी जारी किए गए प्रमाणपत्र CRL के माध्यम से निरस्त किए जाते हैं। WoSign और StartCom का रूट सर्टिफिकेट, जिसके माध्यम से उल्लंघन किया गया था, भविष्य में हटा दिया जाएगा। प्रमाणन अधिकारियों को नए रूट प्रमाणपत्र जारी करने होंगे। यदि मोज़िला इन नए मूल प्रमाणपत्रों को स्वीकार करने के लिए सहमत हो जाता है, तो उनका समावेश आपको पुराने को हटाने के लिए प्रेरित करेगा। और अगर आप सहमत नहीं हैं, तो पुराने प्रमाणपत्र मार्च 2017 के बाद हटा दिए जाएंगे। अर्न्स्ट एंड यंग हॉन्गकॉन्ग ऑडिट ऑफिस के लिए, जो WoSign के उल्लंघनों से चूक गए, उनके ऑडिट अब भरोसेमंद नहीं हैं।

1 नवंबर 2016 के अनुसार अपडेट करें: Chrome 56 21 अक्टूबर 2016 के बाद WoSign और StartCom द्वारा जारी प्रमाणपत्रों को असत्य के रूप में चिह्नित करेगा ।

8 जुलाई, 2017 तक अपडेट: क्रोम 61 के साथ शुरू,21 अक्टूबर, 2016 से पहले जारी किए गए सभी WoSign और StartCom सर्टिफिकेट पर भरोसा पूरी तरह से बंद हो जाता है ।

9 अगस्त, 2017 तक अपडेट: Microsoft भी इन प्रमाणीकरण अधिकारियों के प्रमाणपत्रों पर भरोसा करना बंद कर देता है । विंडोज 26 सितंबर, 2017 से पहले जारी किए गए केवल प्रमाणपत्रों पर भरोसा करना जारी रखेगा।

9 अगस्त, 2017 तक अपडेट: स्टार्टकॉम प्रबंधन ने कंपनी को बंद करने का फैसला किया।

पत्र पाठ

Dear customer,

As you are surely aware, the browser makers distrusted StartCom around a year ago and therefore all the end entity certificates newly issued by StartCom are not trusted by default in browsers.

The browsers imposed some conditions in order for the certificates to be re-accepted. While StartCom believes that these conditions have been met, it appears there are still certain difficulties forthcoming. Considering this situation, the owners of StartCom have decided to terminate the company as a Certification Authority as mentioned in Startcom´s website.

StartCom will stop issuing new certificates starting from January 1st, 2018 and will provide only CRL and OCSP services for two more years.

StartCom would like to thank you for your support during this difficult time.

StartCom is contacting some other CAs to provide you with the certificates needed. In case you don´t want us to provide you an alternative, please, contact us at certmaster@startcomca.com

Please let us know if you need any further assistance with the transition process. We deeply apologize for any inconveniences that this may cause.

Best regards,

StartCom Certification Authority

मोज़िला और एप्पल WoSign और StartCom प्रमाणन प्राधिकरणों पर प्रतिबंध लगा देंगे

2015

2016

और इसका परिणाम क्या है?

More articles: