Mozilla отзывает все сертификаты удостоверяющего центра компании DigiNotar

В блоге Mozilla появилась запись с объяснением ситуации с сертификатами удостоверяющего центра DigiNotar. Разработчики приняли решение о полном удалении корневого сертификата удостоверяющего центра из списка доверенных. Это решение названо последним и возвращение сертификата в список доверенных невозможно.

Представитель Mozilla в поддержку своего решения приводит три аргумента:

1. 1. Неуведомление. DigiNotar обнаружила и отозвала несколько фальшивых сертификатов за шесть недель до уведомления Mozilla Foundation. Это вызывает у представителей компании особую тревогу, так как несколько сертификатов были выданы для домена addons.mozilla.org.
2. 2. Количество сгенерированных мошенниками сертификатов остается неизвестным. Первоначально было сообщено об обнаружении сертификата для доменных имен *.google.com, однако сейчас подтверждено существование более 200 SSL-сертификатов для более чем 20 различных доменов. Кроме того, до сих пор точно не известно: сколько поддельных сертификатов существует и на какие сайты они ориентированы.
3. 3. Атака с использованием фальшивых сертификатов вышла из теоретических. Mozilla получила информацию о том, что злоумышленники уже несколько раз использовали поддельные SSL-сертификаты для атаки на злоумышленников.

Представители Mozilla отмечают, что они обладают значительным опытом в решении общих технических проблем. Тем не менее, в случае со взломом удостоверяющего центра компании DigiNotar Mozilla не обладает уверенностью, что проблема будет разрешена. Наоборот, вышеуказанные аргументы оставляют у Mozilla Foundation глубокую обеспокоенность по поводу их способности защитить пользователей от будущих инцидентов.

Ранее, при выпуске обновления 6.0.1 для версии Mozilla Firefox, было принято решение отозвать SSL-сертификаты удостоверяющего центра DigiNotar за исключением сертификатов, выданных в рамках PKIgovernment правительства Нидерландов. Правительство сообщило Mozilla, что сертификаты выдаются независимо от DigiNotar и, по их мнению, не скомпрометированы. Правительство Нидерландов попросило не удалять эти сертификаты, и Mozilla Foundation пошла им навстречу.

Сейчас же голландское правительство провело аудит ситуации в компании DigiNotar и отозвало свою просьбу о сохранении сертификатов. В связи с этим, Mozilla приняла решение о полном отзыве всех сертификатов удостоверяющего центра DigiNotar.

Представители фонда Mozilla отмечают, что данный инцидент требует пересмотра существующей ситуации, когда удостоверяющий центр позволяет себе сохранять в тайне нарушение целостности системы. Обеспечение безопасности пользователей, по их мнению, возможно только при непосредственном и всеобъемлющем взаимодействии всех владельцев удостоверяющих центров и поставщиков программного обеспечения.