Исследование, проведенное некоммерческой правозащитной организацией
Electronic Frontier Foundation (EFF), показало, что большое количество
сертификационных центров
(CA), во главе с GoDaddy, допускают функционирование не отвечающих требованиям
доменов.

В результате деятельности проекта EFF по исследованию сертификатов SSL —
SSL Observatory
project
— была выявлена определенная информация. В рамках проекта
осуществлялся анализ всех публично доступных IPv4 SSL сертификатов, который
обнаружил 37 244 не соответствующих требованиям доменных имени, подписанных
сертифицирующими органами. В большинстве своем это были многочисленные варианты
‘localhost’ или ‘exchange’, и их существование может вызвать угрозу MitM атак.

Крис Палмер, технологический директор EFF, сообщил, что сейчас нельзя узнать,
были ли несоответствующие требованиям домены использованы для причинения вреда.
Однако EFF работает над плагинами для браузеров, задачей которых является помощь
в определении, предпринимаются ли вредоносные действия.

Тем не менее, по его словам, исследование продемонстрировало зияющие дыры в
практике некоторых CA, и масштабы проблемы говорят о том, что слишком мало было
сделано для ее решения.

"Может, это всего лишь несколько плохих яблок, но это очень большие яблоки",
— сказал он.

"Когда удар был нанесен по
Comodo, мы решили
посмотреть, что произойдет, если мы перестанем доверять ее сертификатам, и
обнаружили 84 000 доменов, которые должны быть заблокированы. Люди бояться
касаться проблем такого масштаба".

Но существуют и обнадеживающие знаки. Производители браузеров ищут решения
проблемы, и Mozilla сегодня открыла дискуссию по данной теме. Поскольку
существует всего четыре главных производителя браузеров, которые контролируют
большую часть рынка, есть возможность скоординировать деятельность небольшого
количества людей, и не пытаться получить разрешение от сотен центров
сертификации, объяснил он.

Тем не менее, сектор CA также пытается решить проблему путем создания
консорциума CA/Browser Forum, который ищет способы улучшения ситуации. Пальмер
сказал, что он был ободрен конструктивной критикой существующих на сегодняшний
день практик.

"CA/Browser Forum осознает и оценивает работу проекта EFF SSL Observatory", —
заявила группа в сообщении.

"Информация, собранная EFF, поможет проанализировать сертификационные
практики и, хотелось бы надеяться, определить области, где CA могут улучшить
безопасность и производительность. CA/Browser Forum, консорциум сертификационных
органов и разработчиков браузеров, поддерживает эту относительно недавнюю затею
EFF".

Пальмер опубликует дополнительные результаты исследования, которые
продемонстрируют нерациональное использование доменов верхнего уровня (top level
domains). Он говорит, что их количество должно составлять около 300, но
исследование выявило более 1 200.



Оставить мнение