Компания Google намерена (https://groups.google.com/a/chromium.org/forum/#!msg/blink-d... применить блокировку для достаточно большой порции HTTPS-сертификатов, выданных удостоверяющим центром Symantec. Причиной блокировки стали выявленные злоупотребления при выдаче сертификатов уровня EV (Extended Validation (https://en.wikipedia.org/wiki/Extended_Validation_Certificate)). В итоге, под сомнение поставлена валидность более 30 тысяч EV-сертификатов Symantec, выданных за последние несколько лет.EV-сертификаты подтверждают заявленные параметры идентификации и по правилам для их получения требуется проведение проверки документов о принадлежности домена и физическое присутствие владельца ресурса. В случае Symantec подобная проверка не проводилась должным образом, т.е. нет гарантии, что полномочия владельца всегда проверялись. Google обращает внимание на то, что Symantec предоставил доступ к инфраструктуре удостоверяющего центра как минимум четырём сторонним организациям, которым предоставлены полномочия по выдаче сертификатов. При этом компания Symantec не обеспечила должный уровень надзора за ними и допустила несоблюдение ими установленных стандартов обслуживания. В ответ на запросы, компания Symantec также не могла предоставить в установленные сроки отчёты с разбором имевшихся инцидентов.
Для смягчения удара по пользователям Symantec (в пик своей активности доля выданных Symantec сертификатов превышала 30%, а по данным телеметрии Firefox составляет 42%), в Chrome намерены провести поэтапную блокировку. В первую очередь планируется отозвать EV-статус для всех сертификатов Symantec, т.е. данные сертификаты продолжат работу, но как сертификаты DV (Domain validation) верификация по домену), без отображения индикатора расширенной аутентификации. В дальнейшем постепенно все проблемные сертификаты будут заблокированы путём сокращения максимального срока их действия.
Symantec будет дано время на перепроверку и замену сертификатов. При этом EV-сертифиткаты от Symantec не будут распознаваться до тех пор, пока сообщество не убедиться, что процесс выдачи EV-сертификатов не приведен к требованиям правил, но не раньше чем через год. В Chrome 59 значение максимального срока действия сертификатов Symantec планируется ограничить 33 месяцами, Chrome 60 - 27 месяцами, Chrome 61 - 21,.... Chrome 64 - 9 месяцами. Кроме того, для всех новых сертификатов предлагается сразу ограничить срок действия 9 месяцами.
URL: https://groups.google.com/a/chromium.org/forum/#!msg/blink-d...
Новость: http://www.opennet.ru/opennews/art.shtml?num=46252
