Więcej
Mozilla i Apple nie uznają certyfikatów WoSign i StartCom

Mozilla i Apple nie uznają certyfikatów WoSign i StartCom

04-10-2016 13:30:40

WoSign - jeden z największych dostawców certyfikatów cyfrowych w Chinach, właściciel izraelskiego urzędu certyfikacyjnego (certificate authority, CA) StartCom – ma nie lada problemy z przeglądarką Mozilla. Wszystko zaczęło się od serii nieszczęsnych incydentów związanych z bezpieczeństwem, w tym wydania certyfikatów SSL/TLS dla podstawowych domen GitHub właścicielowi subdomeny na tym portalu.

WoSign zwrócił na siebie uwagę po raz pierwszy, gdy Stephen Schrauger, web developer z University of Central Florida, wygenerował certyfikat SSL dla github.io posiadając jedynie powszechnie dostępną subdomeną schrauger.github.com. Schrauger przeszedł walidację dla zabawy nie posiadając uprawnień do domeny, a uzyskanie certyfikatu dla domeny .io komentuje z lekkością: "Nie dodałem (certyfikatu) www.github.com bo mi się zapomniało".

Mozilla oskarża też firmę o zakup StartCom bez informowania o tym kogokolwiek i bez ujawniania zmiany własności tego CA.

Wszystko to sprawiło, że także Apple wyrzucił WoSign CA Free SSL Certificate ze swojego programu zaufania.

Ostatecznie Mozilla zdecydowała, że nowe certyfikaty z WoSign i StartCom nie będą uznawane w przeglądarce. Jednak istniejące certyfikaty będą nadal respektowane. CA może ponownie wystąpić o włączenie swoich certyfikatów w przeglądarce po roku, pod pewnymi warunkami. Teoretycznie pozwala to WoSign tworzyć certyfikaty ze wsteczną datą, jednak Mozilla zastrzegła, że jeśli zauważy cokolwiek, co by na to wskazywało natychmiast przestanie uznawać wszystkie certyfikaty Wosign / StartCom.

Trzeba przyznać, że - jak powiedział sam Schrauger - walidacja domeny nie jest tak prostą rzeczą, jak mogłoby się wydawać, a WoSign nie jest pierwszą firmą, która ma problemy. Miejmy nadzieję, że sytuacje takie jak ta nie będą jednak miały miejsca.

Najnowsze wpisy

Certyfikat EV w 7 sekund
29-10-2019 09:43:51

Nazwa firmy w pasku przeglądarki w sposób jednoznaczny identyfikująca właściciela serwisu jest elementem zwiększającym zaufanie do strony, ale uzyskanie samego certyfikatu wymaga nieco więcej działań od samego właściciela serwisu. 7 sekund - tylko tyle trwa wydanie certyfikatu na poziomie EV, jeżeli podmiot ubiegający się o certyfikat spełnia wszystkie wymogi formalne i dopełnił weryfikacji firmy.

Certyfikat EV w 7 sekund
Firefox oznaczy strony bez SSL jako Niezabezpieczone
16-10-2019 14:06:26

Już 22 października 2019 r. Mozilla Firefox - wraz z udostępnieniem nowej wersji 70 - oznaczy wszystkie strony, które nadal nie korzystają z certyfikatu SSL jako "Niezabezpieczone" ("Not Secure").

Firefox oznaczy strony bez SSL jako Niezabezpieczone
Chrome zablokuje niezabezpieczone zasoby Twojej strony
04-10-2019 12:47:54

Google Chrome - najpopularniezjesza przeglądarka internetowa na świecie - zaczyna weryfikować czy strony internetowe zabezpieczone certyfikatem SSL ładują treści zawsze z użyciem HTTPS. Tam, gdzie dojdzie do niezgodności (tzw. mixed content) zawartość będzie blokowana.

Chrome zablokuje niezabezpieczone zasoby Twojej strony
więcej wpisów