Аннотация:
На прошлой неделе выпуск закрытого ключа сертификата eMudhra индийской компании Caotai привлек внимание всей отрасли. Во всех восьми промежуточных сертификатах CA, выпущенных компанией, использовались слабые ключи. Среди них закрытый ключ сертификата EM OV TLS CA-G3C был увеличен до цифры 4, поэтому любой может напрямую использовать этот сертификат для выдачи субсертификатов для других доменных имен.
Однако эти проблемные сертификаты были отозваны браузерами и операционными системами. Однако некоторые устройства могут не проверять список отзыва сертификатов или не иметь возможности получать обновления. Отозванному сертификату по-прежнему доверяют, а субсертификат, использованный для выдачи, по-прежнему можно использовать.
Итак, энтузиасты выдали 106 000 сертификатов на доменные имена Google:
Чтобы протестировать использование eMudhra для выдачи сертификатов для любого доменного имени, первым выбором, конечно, является доменное имя Google (точно так же, как домашние пользователи открывают Baidu, чтобы проверить, подключены ли они к Интернету), поэтому текущий журнал прозрачности сертификатов CT зафиксировал, что энтузиасты выдали до 106 000 сертификатов для основного доменного имени Google Google.com.
В настоящее время в журнале прозрачности сертификатов записано 107 000 записей о выдаче, 99 % из которых используют доменные имена Google в качестве объектов тестирования. Эти сертификаты можно аутентифицировать с помощью открытого ключа ЦС, но поскольку промежуточный сертификат был отозван браузером, фактический доступ будет заблокирован (если только запись об отзыве не может быть проверена).
Почему сертификаты, выданные мной, могут быть зарегистрированы CT:
Поскольку выдача сертификата и регистрация журнала CT — это разные процессы, в обычных обстоятельствах центр сертификации использует промежуточный закрытый ключ центра сертификации для выдачи сертификата после проверки контроля над доменным именем. Кто-то, у кого есть утечка закрытого ключа, может создать сертификат локально, записать любое доменное имя в поле DNS-имени, а затем использовать закрытый ключ для подписи.
RFC 9162 предусматривает, что любой может отправить сертификат в журнал CT и прикрепить цепочку сертификатов для проверки журнала. Журнал CT отвечает за запись и публикацию сертификата для внешней проверки статуса выдачи ЦС и не отвечает за проверку прав на управление доменными именами для ЦС. Поэтому энтузиастов можно проверить, если они вносят это в журнал КТ при выдаче сертификатов.
Комментарии