Nevyžádané certifikáty pro google.com a www.google.com od Thawte

Google na svém blogu věnovaném online bezpečnosti informuje, že certifikační autorita Thawte vlastněná Symantecem vydala EV (Extended Validation) certifikáty pro google.com a www.google.com, které nebyly vyžádány ani autorizovány společností Google. Zjištěno to bylo na základě logů z Certificate Transparency. Dle oficiálního vyjádření Symantecu se jednalo o chybu lidského faktoru.

21.9.2015 15:51 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[allstar]

Okamžitě vyřadit Thawte se seznamu důvěryhodné certifikační autority ze všech prohlížečů a jiného SW. Plus zapltatit odškodné Googlu.

[David Indra]

+1

[Slavko]

Okamžite prestať používať Google, odstrániť zo všetkých prehliadačov a zaplatiť odškodné všetkým používateľom :P

[David Indra]

+1

[Jardik]

K cemu jsou googlu certifikaty, kdyz privatni stejne predhodi NSA ke spehovani. Jen pro ten pocit bezpecnosti spojeni pro uzivatele.

[M]

Dost serverů (i Google co koukám) už dneska používá šifry zajišťující perfect forward secrecy.

Tj. při znalosti privátního klíče certifikátů by nemělo být možné pro třetí stranu zpětně dešifrovat zachycenou komunikaci, ta je navíc zabezpečená (EC)DHE.

Samozřejmě jen za předpokladu, že ten server samotný nemá nějaký backdoor...

[xm]

Google v Chromiu/Chrome provádí pinning (nejen) svých certifikátů, takže i kdyby si NSA nechala podepsat od CA vlastní certifikáty na MITM, s moderními prohlížeči jim to na spoustu webů neprojde (Mozilla jestli se nepletu ten seznam staticky pinnovaných klíčů od Googlu přebírá, takže snad i Firefox je chráněn). Takhle kdysi Google odhalil když tuším Turecko dělalo MITM na jejich servery s falešným certifikátem (byť podepsaným reálnou tureckou CA).

[xm]

Tady je odkaz na ten případ s Turky: Rogue Google SSL certificate not used for dishonest purposes, Turktrust says (vyjádření Turktrust je dobrý ROFL )

[xm]

A tady je seznam pinnovaných certifikátů: https://src.chromium.org/viewvc/chrome/trunk/src/net/http/transport_security_state_static.json

Kromě certifikátů Google jsou mezi nimi i Tor, Cryptocat, Twitter a Dropbox.

A samozřejmě libovolná webová stránka může používat HSTS + HPKP, pak u ní pinning bude fungovat taky a bezpečnostní model se mění na TOFU (stejně jako je tomu třeba u SSH).

[Petr Tomášek]

Co to meleš! Google sám o sobě je horší než NSA (koneckonců, NSA jenom dělá svou práci...).

[d.c.]

Takže, když nechávali Ti hodní od Gůglu u thawte duplikáty klíčů a certifikátů pro Společnost Proti Kryptografii, někdo to skopal a dal to nepravému poslíčkovi?