Шахрайські SSL сертифікати вкрадені сертифікати для створення помилкового HTTPS і підміни людина посередині Україна
☰
Логотип департаменту безпеки WebTrust ТОВ Адграфікс

Для отримання цифрового SSL сертифікату, ви відправляєте Центру Сертифікації запит на підпис сертифіката що містить відкритий ключ і інформацію про вашу компанію. CA перевіряє інформацію про компанію та повертає підписаний цифровий сертифікат, що містить достовірну інформацію про компанії та ваш публічний ключ.

Коли ЦС виконує перевірку домену, він намагається перевірити, що запит сертифіката надходить від законного власника домену. Існує кілька способів зробити це: форум CA / Browser Forum, який визначає базові вимоги пред'являються до SSL сертифікатами, посилив і чітко визначив дозволені методи перевірки прав організації на домен. Але ідея завжди одна і та ж - CA повинен переконатися, що ви дійсно є власником домену, на який ви хочете отримати сертифікат для захисту свого сайту. Після того як CA переконається, що ви керуєте доменом, він випустить SSL сертифікат для вас.

Рагульські SSL сертифікати або шахрайські сертифікати ізгої ( Rogue SSL certificate )

Сертифікати-ізгої (Сертифікат шахрая) - це скомпроментовані SSL сертифікати, випущені Центром Сертифікації на законних підставах і викрадені у власника, або помилково випущені Центром Сертифікації, або сертифікати випущені на основі навмисно брехливої ​​наданої ЦС інформації.

Існує ряд причин, за якими Центр сертифікації може бути джерелом рагульський сертифікатів. Це може бути результатом компрометації кореневого сертифіката, результатом недобросовісних або непрофесійних рішень керівництва або надання проміжного крос сертифіката ненадійній компанії. Зазвичай вони ховаються під вивіскою технологічного або стратегічного партнера. У світлі сьогоднішніх подій привожу крос сертифікат CA Unizeto Technologies S.A., виданий приватній компанії із сусідньої країни з відомою репутацією;)

Select

p.s. * для перегляду "нутрощів" сертифіката натисніть Select і вставте в форму сайту для перевірки SSL сертифікатів >>>

=======================================
Сервіс https://proverkassl.com : результати перевірки SSL сертифікату для YANDEX.RU:443 Yandex CA expiried 18 May 2019 23:26
=======================================
Коректний ланцюжок від довіреної CA Yandex LLC
=======================================
Domain Certificate YANDEX.RU

Можливі варіанти випуску "лівих" SSL сертифікатів для CA:

Коли ЦС видає сертифікат, він підписує цей сертифікат одним з його закритих ключів. Цей закритий ключ був або підписаний довіреним коренем, або був підписаний проміжним коренем, який в свою чергу був підписаний довіреним коренем. У будь-якому випадку, коли браузер отримує довірений сертифікат SSL, він повертає цифровий підпис до сертифіката, з яким він пов'язаний, до тих пір, поки він не досягне одного з довірених коренів в сховище довіри. Сертифікат шахрая є довіреним сертифікатом, пов'язаним з сайтом, який власник сертифіката фактично не контролює.

Рагульський SSL Сертифікат небезпечний тим, що він дозволяють зловмисникам створювати нелегітимності сайти, які зовні не відрізняються від реальних сайтів, і їх сертифікаційна ієрархія може бути перевірена і посвідчена. Потім користувачі будуть перенаправлені на небезпечні сайти за допомогою фішингу або атаки «Людина в середині», де уразливий вузол між користувачем і законним сайтом натомість відправляє трафік на незаконний сайт. До недавнього часу індикатор HTTPS від Google, який поміщав значок «Безпечний» поруч з URL-адресою в адресному рядку, тільки погіршував і заплутував ситуацію.

Отже Сертифікат-ізгой - це дійсний сертифікат, який потрапив у володіння третьої сторони - зазвичай зловмисної.

Коли браузер перевіряє сертифікат він перевіряє:

  1. Чи був сертифікат підписаний довіреним ЦС?
  2. Чи цілий ланцюжок цифрового підпису до одного з коренів в сховище довіри?
  3. Сертифікат дійсний?
    • Коли SSL сертифікат був випущений?
    • Коли сертифікат SSL закінчується ?
    • Ми все ще перебуваємо в такому часовому інтервалі?
  4. Чи був відкликаний SSL сертифікат? Для цього потрібна перевірка OCSP або CRL.
  5. Чи є у сервера пов'язаний закритий ключ?
  6. Чи відповідає пара ключів один одному?

Останній пункт - "з однієї чи сім'ї ключі?" - дуже важливий, тому що браузер зашифрує частина даних відкритим ключем сертифікату і розшифрувати її можна тільки закрититим ключем сервера. Це те, що заважає веб-сайтам просто копіювати SSL-сертифікат легітимного сайту і намагатися представити його відкритий ключ як свій власний. Відкритий ключ цього сертифіката не працюватиме, тому що сервер з талоном не має відповідного закритого ключа.

Рагульський сертифікат або сертифікат-ізгой - це дійсний сертифікат, який потрапив у володіння третьої недобросовісної стороною. Шахрайський SSL сертифікат подібний підробному паспорту або підробленим свідоцтвом особистості в шпигунському фільмі. Це дозволяє зловмисникові працювати під хибним ідентифікатором.

Тому, коли ви потрапляєте на шкідливий веб-сайт з roque-сертифікатом, ваш браузер слухняно виконує зазначені вище перевірки буква в букву як описано вище. Браузер гарантує:

  1. що сертифікат був підписаний довіреним ЦС.
  2. що сертифікат дійсний. (Сертифікат відкликання і не закінчився)

Браузер користувача ніколи не аутентифікує сам сервер, він просто аутентифікує сертифікат. Це схоже на ситуацію, коли ви уявляєте водійські права поліцейському. Поліцейський перевіряє щоб зображення на правах співпало з вашим обличчям, що ліцензія дійсна, що вона ще не закінчилася, і він може зателефонувати до відділу, щоб переконатися, що права не були відкликані. Якщо все це ОК, він прийме ваші права як законні. Поліцейський не перевірятиме вашу ДНК і групу крові, щоб переконатися, що це ви на біологічному рівні, він перевіряє тільки ваші документи :)

Використовуючи відкритий ключ, пов'язаний із сертифікатом, для шифрування деяких даних, зловмисник, який має пов'язаний закритий ключ, розшифровує і повертає інфу. Що стосується вашої комп'ютерної системи, то вона вважає, що цей сайт - той самий що ви думали. Шахрайські сертифікати являють собою серйозну загрозу для підприємств і може завдати відчутної шкоди вашій компанії. Щоб мати можливість використовувати рагульський сертифікат, хакеру необхідно перехопити трафік і вставити свій власний підроблений сертифікат в атаку «Людина-в-середині»

Що робити?

Ці "Що робити" допоможуть вам знайти і знешкодити шахрайські rogue ssl сертифікати.
Удачки!