Google: kõigi Symanteci sertifikaatide umbusalduse umbusaldamise ajakava Chrome'is

Google avaldas hiljuti ajaveebi Google Security ajakava, mis tõstab esile Symanteci väljaantud sertifikaatide toetamise katkestamise ajakava Chrome'is.

Ettevõte kavatseb Chrome 70-st täielikult loobuda, kuid usaldab enne 15. juunit 2016 välja antud sertifikaadid juba 15. märtsil 2018 (Chrome 66).

Symanteci sertifikaatide küsimus - ettevõte tegutseb selliste kaubanimede all nagu VeriSign, Thawte, Equifac, RapidSSL või GeoTrust - seisneb selles, et Symantec 'usaldas mitmele organisatsioonile võimaluse väljastada sertifikaate ilma asjakohase või vajaliku järelevalveta'. Google'ile.

symantec certificate google chrome firefox

Symantec oli nendest turvanõuetest teadlik ja minevikus aset leidnud juhtumid näitasid, kui halb see oli. 2015. aastal näiteks loodi sertifikaadid, mis hõlmavad viit organisatsiooni, sealhulgas Google ja Opera, ilma asjaomaste organisatsioonide teadmata.

Symantec tuli DigiCertiga sõlmitud lepingule, mille kohaselt DigiCert omandab Symanteci veebisaidi turvalisuse ja PKI-lahenduste äri.

Google kavatseb järgmisel aastal eemaldada usaldus kõigi Symanteci väljaantud Chrome'i sertifikaatide vastu. Ettevõte avaldas ajakava, mis toob välja protsessi olulisemad kuupäevad.

  • 24. oktoober 2017 - Chrome 62 stabiilne - Chrome tõstab esile, kui saidi sertifikaati ei usaldata Chrome 66 vabastamisel.
  • 1. detsember 2017 - DigiCerti uus infrastruktuur on võimeline täielikult välja andma. Sellest hetkest alates ei tööta Symanteci vana infrastruktuuri välja antud sertifikaadid. See ei mõjuta DigiCerti välja antud sertifikaate.
  • 15. märts 2018 - Chrome 66 Beta - enne 1. juunit 2016 välja antud Symanteci sertifikaate ei usaldata. Saidid ei laadita, vaid viskavad selle asemel tõendi.
  • 13. september 2018 - Chrome 70 Beta - usaldus Symanteci vana infrastruktuuri vastu kaob täielikult Google Chrome'ist. See ei mõjuta DigiCerti väljaantud sertifikaate, kuid blokeerib kõik saidid, mis kasutavad vanu sertifikaate.

Chrome'i kasutajad ei saa sellega tegelikult midagi ette võtta, kuna veebisaidi operaatorid peavad juba 14. märtsil 2018 vahetama sertifikaati, mida Google endiselt usaldab, ja brauseri kasutajatel on ainus võimalus teavitada veebisaitide operaatoreid sertifikaatide probleemidest. kas nad ei peaks sellest teadlikud olema.

Mozilla vastab Google'i soovitatud kuupäevadele vastavalt Gervase Markhami postitusele Mozilla Dev turvapoliitika rühmas.

Veebimeistrid, kes haldavad Symanteci sertifikaatidega saite, peavad enne tähtaega oma veebiatribuutidesse uued sertifikaadid lisama, et tagada neile atribuutidele jätkuv juurdepääs. Üks võimalus, mida veebimeistrid saavad kasutada, on see kasutada Võimaldab krüptida mis pakub tasuta ja automatiseeritud sertifikaate.