Компания по надзору просит включить в белый список сертификатов Firefox.

16:22 МСК, 27 февраля 2019 г. Автор: Admin

Mozilla оказалась в невыгодном положении при выдаче корневых сертификатов DarkMatter.

Команда безопасности Mozilla оказалась в невыгодном положении, в связи с недавним запросом о добавлении известного поставщика видеонаблюдения во внутренний список одобренных издателей сертификатов HTTPS в Firefox.

Поставщика зовут DarkMatter, фирма по кибербезопасности, базирующаяся в Объединенных Арабских Эмиратах, которая, как известно, продаёт услуги слежки и взлома репрессивным режимам на Ближнем Востоке. Несколько месяцев назад, DarkMatter отправил отчет об ошибке с просьбой добавить свои собственные корневые сертификаты в хранилище сертификатов Firefox, которые является внутренним списком центров сертификации (CA).

Центры сертификации - это компании, учреждения и другие организации, которым разрешено выдавать новые сертификаты TLS - механизм, поддерживающий зашифрованные соединения HTTPS. Mozilla использует это хранилище сертификатов, чтобы знать, каким сертификатам TLS доверять при загрузке зашифрованного содержимого в Firefox и Thunderbird, подобно тому, как Apple, Google и Microsoft используют свои хранилища сертификатов, чтобы знать, какому контенту, и каким продуктам можно доверять.

Организация, имеющая корневой сертификат, добавленный в эти хранилища, может выдавать новые сертификаты, которым автоматически доверяют эти крупные компании и соответствующие браузеры. В настоящее время, Mozilla находится в довольно сложной ситуации, потому что DarkMatter имеет историю теневых операций, но также располагает чистой историей CA, без каких-либо известных злоупотреблений.

С одной стороны, на Mozilla оказывают давление такие организации, как Electronic Frontier Foundation, Amnesty International и The Intercept, чтобы отклонить запрос DarkMatter, в то время как с другой стороны DarkMatter утверждает, что никогда не злоупотреблял своими полномочиями по выдаче сертификатов TLS по каким-либо причинам, поэтому нет никаких оснований рассматривать их, так как это несколько отличается от других CA, которые применялись в прошлом.

Опасения достаточно высоки, потому что список доверенных корневых сертификатов Mozilla также используется некоторыми дистрибутивами Linux. Многие опасаются, что после одобрения в списке хранилищ сертификатов Mozilla, DarkMatter сможет выпускать сертификаты TLS, которые смогут перехватывать интернет-трафик без каких-либо ошибок в некоторых системах Linux, обычно развертываемых в центрах обработки данных, и у поставщиков облачных услуг.

В обсуждениях Google Groups и Bugzilla по его запросу, DarkMatter отрицал любые нарушения или намерения сделать это. Компании уже была предоставлена возможность выдавать сертификаты TLS через посредника, компанию QuoVadis, в настоящее время принадлежащую DigiCert. Те, кто просит Mozilla отклонить запрос DarkMatter о включении в хранилище корневых сертификатов, быстро ухватились за тот факт, что DarkMatter уже неправильно выпустил несколько сертификатов TLS через QuoVadis.

Тем не менее, большинство из них кажутся техническими ошибками, и сертификаты, похоже, не использовались для чего-либо вредоносного. «Учитывая деловую заинтересованность DarkMatter в перехвате TLS-коммуникаций, добавление их в список доверенных лиц кажется очень плохой идеей» - сказал Купер Куинтин из EFF в ходе обсуждений в группах Google. «Я бы пошел так далеко, и отозвал бы их промежуточный сертификат, основываясь на этих заверениях».

Quintin расширил свои опасения в сообщении, в блоге EFF, напомнив Mozilla, что он столкнулся с аналогичной проблемой в 2009 году с CNNIC, официальным CA правительства Китая. Mozilla утвердила CNNIC в качестве доверенного корневого ЦС в Firefox в 2009 году, а ЦС был пойман на неправильной выдаче сертификатов для доменов Google в 2015 году, что позволило субъектам угроз перехватывать трафик, предназначенный для сайтов Google - событие, запрещающее CNNIC в большинстве списков корневых хранилищ сертификатов.

По словам инженеров Mozilla, которые много общались с ZDNet и не хотели выступать под своими именами, потому что у них не было полномочий действовать от имени своей организации, Mozilla тем не менее всерьез рассматривает эту проблему. Стало известно, что Mozilla не знала историю DarkMatter в то время, когда она подала заявку на включение в свой корневой ресурс, несколько месяцев назад.

Отчет Reuters, опубликованный в прошлом месяце, описывающий причастность DarkMatter к оказанию помощи саудовскому правительству в шпионаже против диссидентов, повернул несколько голов в Mozilla. Этот отчет вызвал критику поставщика систем видеонаблюдения в месячном отчете об ошибке Bugzilla, что заставило сотрудников Mozilla серьезно подумать над тем, чтобы сделать исключение из обычного процесса утверждения CA, и отклонить запрос на включение, несмотря на отсутствие каких-либо доказательств злоупотребления.

Mozilla теперь открыла отдельное обсуждение в группах в Google, чтобы собрать больше отзывов от сообщества, большинство из которых на момент написания статьи были отрицательными. Появилась информация о том, что Mozilla, скорее всего будет использовать эту критику в качестве причины отклонения запроса DarkMatter в попытке избежать нежелательных публикаций относительно другого инцидента с CNNIC.

«Политика корневых сертификатов Mozilla, предоставляет нам право принимать меры, основанные на риске для людей, которые используют наши продукты. Несмотря на отсутствие прямых доказательств неправомерного использования DarkMatter, это может быть отправной точкой, когда мы должны использовать на свое усмотрение то, чтобы действовать в интересах людей, которые полагаются на наш корневой сертификат», сообщили в Mozilla Foundation.
________________________________________________________________________________________________

Просмотров страницы:

0438

Была ли информация на этой странице полезной для вас?

Instagram share buttons