Google ने Symantec प्रमाणपत्रों में विश्वास खो दिया है

Google Chrome ब्राउज़र के डेवलपर्स ने पुराने सिमेंटेक एसएसएल प्रमाणपत्रों को फिर से जारी करने और फिर से जारी करने की योजना की घोषणा की है , ईवी स्थिति को रद्द करने के साथ-साथ भविष्य के प्रमाण पत्रों की वैधता को घटाकर ≤9 महीने तक कर दिया है। यह उन प्रमाणपत्रों के साथ घटनाओं की जांच का परिणाम है जो मालिकों की अनुमति के बिना जारी किए गए थे, और कंपनी में वर्तमान प्रथाओं।

Google की जांच जनवरी से मार्च 2017 तक दो महीने तक चली। जितने लंबे समय तक यह चला, उतने अधिक सवाल सिमेंटेक के लिए उठे और प्रमाणपत्र जारी करने में उल्लंघन का पता चला। 2015 का इतिहास , जब सिमेंटेक ने मनमाने ढंग से Google, ओपेरा और कई अन्य संगठनों के डोमेन के लिए एक प्रमाण पत्र जारी किया था, अभी तक मिटा नहीं है।

तब सिमेंटेक ने अपने कार्यों को निम्नानुसार समझाया: “परीक्षण के दौरान आंतरिक उपयोग के लिए बहुत कम संख्या में परीक्षण प्रमाण पत्र गलत जारी किए गए थे। इन सभी परीक्षण प्रमाणपत्रों और चाबियों को हर समय हमारे नियंत्रण में रखा गया था और समस्या के बारे में पता चलने पर तुरंत रद्द कर दिया गया था। किसी भी डोमेन पर कोई प्रभाव नहीं पड़ा और इंटरनेट को कोई खतरा नहीं है। ” कर्मचारियों ने नीतियों का उल्लंघन किया और घटना को अंजाम दिया।

हालांकि, ऑडिट में मालिकों के ज्ञान के बिना जारी किए गए मौजूदा डोमेन के लिए 187 प्रमाण पत्र और गैर-मौजूद डोमेन के लिए 2458 प्रमाण पत्र का पता चला।

उस घटना के बाद, यह स्पष्ट हो गया कि सिमेंटेक सुरक्षा में बहुत खराब था। Google ने मांग की कि यह प्रमाण पत्र पारदर्शिता ढांचे के साथ सभी नए प्रमाणपत्रों का समर्थन करने, एक अतिरिक्त ऑडिट आयोजित करने, एक घटना की रिपोर्ट प्रकाशित करने, और स्वतंत्र लेखा परीक्षकों को उलझाने सहित कई उपाय करता है।

अंतिम घटना को एक साल से अधिक समय बीत चुका है - और अब Google क्रोम ब्राउज़र में रूट प्रमाणपत्र नीति के अनुपालन की जांच करने के लिए फिर से दोषी सिमेंटेक प्रमाणन प्राधिकरण में लौट आया है।

शुरुआत से ही, यह स्पष्ट हो गया कि कंपनी में चीजों में बहुत सुधार नहीं हुआ है। जांच की शुरुआत में, 127 प्रमाणपत्रों के प्रारंभिक सेट पर विचार किया गया था, लेकिन सामने आए उल्लंघन के आलोक में, इसे कई वर्षों में जारी 30,000 टुकड़ों तक विस्तारित किया गया था।

Google ने जांच के परिणामों को इस प्रकार तैयार किया: “हमें पिछले कुछ वर्षों में सिमेंटेक प्रमाणपत्र जारी करने के नियमों और प्रथाओं में विश्वास नहीं है। अपने उपयोगकर्ताओं के विश्वास और सुरक्षा को बहाल करने के लिए, हम निम्नलिखित चरणों की पेशकश करते हैं:

• नए जारी किए गए Symantec प्रमाणपत्रों की मान्यता वैधता की अवधि को घटाकर नौ महीने या उससे कम होने पर Google Chrome उपयोगकर्ताओं पर किसी भी गलत जारी करने से होने वाले प्रभाव को कम किया जा सकता है।
• Google Chrome के कई संस्करणों को पहले से जारी किए गए ट्रस्ट के क्रमिक इनकार से पहले जारी किए गए सिमेंटेक प्रमाणपत्रों को फिर से पुष्टि और प्रतिस्थापन की आवश्यकता होती है।
• सिमेंटेक द्वारा जारी किए गए प्रमाणपत्रों के लिए ईवी (विस्तारित सत्यापन) की स्थिति को पहचानने से इनकार करना, जब तक कि समुदाय सिमेंटेक के नियमों और प्रथाओं में विश्वास नहीं करता है, लेकिन 1 वर्ष के बाद पहले नहीं। "

नए जारी किए गए सिमेंटेक प्रमाणपत्रों की मान्यता वैधता अवधि में क्रमिक कमी को निम्नानुसार प्रस्तावित किया जाना है:

• क्रोम 59 (देव, बेटा, स्थिर): 33 महीने (1023 दिन)
• क्रोम 60 (देव, बेटा, स्थिर): 27 महीने (837 दिन)
• क्रोम 61 (देव, बेटा, स्थिर): 21 महीने (651 दिन)
• क्रोम 62 (देव, बेटा, स्थिर): 15 महीने (465 दिन)
• Chrome 63 (देव, बीटा): 9 महीने (279 दिन)
• Chrome 63 (स्थिर): 15 महीने (465 दिन) - यह संस्करण क्रिसमस की छुट्टियों के दौरान आता है, जब कई कंपनियों का सप्ताहांत होता है
• क्रोम 64 (देव, बेटा, स्थिर): 9 महीने (279 दिन)

Google के अनुसार, ये उपाय "यह सुनिश्चित करेंगे कि Symantec प्रमाणपत्रों की गारंटी का स्तर Google Chrome और पारिस्थितिकी तंत्र की अपेक्षाओं को पूरा करता है, और अतीत और संभावित भविष्य के उल्लंघनों से जितना संभव हो उतना कम से कम जोखिम होता है।"

आपको यह समझने की आवश्यकता है कि Symantec इंटरनेट पर सबसे बड़े प्रमाणपत्र अधिकारियों में से एक है। इसलिए, जनवरी 2015 में, वेब पर सभी प्रमाणपत्रों का 30% से अधिक इन केंद्रों द्वारा सटीक रूप से जारी किया गया था। सच है, तब से महत्वपूर्ण परिवर्तन हुए हैं। अब नेता 42.7% के साथ कोमोडो है, जबकि सिमेंटेक का शेयर 15.4% तक गिर गया है ।

संदर्भ:
सिमेंटेक रूट प्रमाण पत्र