По-настоящему детективная история развернулась в последние месяцы вокруг компании DarkMatter ^[1], которая подала заявку ^[2] на включение своего центра сертификации в доверенное корневое хранилище сертификатов Mozilla. Дело в том, что это не простая компания, а разработчик «шпионского» программного обеспечения из ОАЭ. Ранее она была замечена в покупке 0day-эксплоитов ^[3]. В принципе, само по себе это не преступление. Многие компании, в том числе российские, занимаются созданием хакерского инструментария с использованием 0day. Они продают эти программы, например, правоохранительным органам для взлома телефонов (криминалистическая экспертиза) или скрытой установки троянов (оперативное наблюдение). Но общепринятые правила таковы, что хакерские фирмы сотрудничают только с демократическими правительствами, то есть стоят «на стороне добра».

Страсти накалились в феврале 2019 года, когда вышло расследование Reuters ^[4], что DarkMatter продавала софт репрессивным режимам на Ближнем Востоке.

Mozilla мгновенно оказалась под давлением ^[5].

Доверенное корневое хранилище сертификатов Mozilla используется в том числе некоторыми дистрибутивами Linux. Многие боялись, что попав в Mozilla Root Store, компания DarkMatter начнёт выдавать TLS-сертификаты, которые могут использоваться для перехвата интернет-трафика пользователей. Такие случаи уже были в странах с репрессивными режимами, хотя DarkMatter заявляет, что никогда не участвовала в подобных операциях. Хотя сейчас проблема могла затронуть только определённые Linux-системы, но именно Linux работает на серверах облачных провайдеров и разворачивается в дата-центрах. В обсуждении ситуации на Google Groups ^[6] представители DarkMatter заверяли, что никогда не собираются делать ничего подобного.

В тоже время сертификаты DarkMatter подверглись пристальному рассмотрению. И быстро обнаружилась странность: для последовательных номеров сертификатов использовались случайные числа из 63-битного пространства вместо 64-битного, как положено по спецификации. Это нарушает требования требования CA/B Forum по минимальной энтропии (64 бита). Таким образом, у Mozilla появились формальные основания отказать «шпионам» во включении в доверенное хранилище сертификатов.

Однако выяснилось, что подобное нарушение допустила не только DarkMatter, но с десяток удостоверяющих центров, в том числе GoDaddy, Apple и Google. Причина в том, что все пострадавшие УЦ использовали популярное open source PKI-решение EJBCA с неправильными настройками.

Начался массовый отзыв ^[7] от ведущих центров. Процедура заняла длительное время (до 30 дней) из-за огромного количества сертификатов. Им пришлось нарушить RFC5280, который обязывает отзывать некорректные сертификаты в пятидневный срок. В итоге, по некоторым оценкам, было отозвано несколько миллионов штук.

Вот так шпионская фирма DarkMatter сделала хорошее дело: помогла обнаружить серьёзную криптографическую уязвимость. Но сама оказалась пострадавшей. На самом деле обвинения в расследовании Reuters не имеют под собой серьёзных оснований: возможно, это просто домыслы журналиста. Однако её заявку на включение в доверенное корневое хранилище Mozilla уже отклонили, чем представители фирмы искренне возмущены ^[8]. И некоторые с ними согласны.

«Странная ситуация. С одной стороны, отказ в заявке DarkMatter на основании этих статей в прессе создаст прецедент отказа в очевидной добросовестности члена индустрии на основании только слухов и без доказательств, — пишет ^[9] известный специалист по безопасности Надим Кобейсси. — С другой стороны, решив действовать добросовестно, прозрачно и на фактических доказательствах, мы в реальности рискуем долгосрочно подорвать доверие общественности к процессу включения УЦ.

Мне действительно кажется, что оба решения нанесут ущерб. В первом случае это будет выглядеть дискриминационным (и даже немного ксенофобным)… а во втором возникнет серьёзное облако неопределённости над безопасностью корневого каталога УЦ в целом. И я даже не знаю, как кто-то может хотя бы когда-нибудь рассеять его.

Как сторонний наблюдатель, я искренне не знаю, что делать Mozilla в данный момент…

На самом деле хотелось бы, чтобы против DarkMatter были опубликованы серьёзные доказательства выдвинутых обвинений (если он существуют). Они помогли бы Mozilla занять прочную оборонительную позицию».

По мнению ^[10] специалистов из индустрии SSL/PKI, внезапный отзыв сертификатов также демонстрирует важную роль автоматизации в управлении сертификатами компаний. Ведь фактически у вас могут отозвать сертификат в любой момент из-за такого критического события.

Хорошо, если это сертификат на одном сервере, но проблема становится серьёзной, если у вас мгновенно отзывают сотни сертификатов на IoT-устройствах. А если это тысячи устройств, десятки тысяч? Чтобы решить такую проблему, GlobalSign заключила соглашение о технологическом партнёрстве с фирмой Xage Security ^[11]. Она будет внедрять систему автоматического управления сертификатами IoT Identity Platform ^[12], способную выдавать 3000 сертификатов в секунду.

---

Присоединяйтесь сегодня к разработчикам, новаторам в сфере интернета вещей и управляйте различными IoT-устройствами на основе PKI с решениями от GlobalSign ^[13].

Автор: GlobalSign_admin

Источник ^[14]