❏ 站外平台:

Google Chrome 正式宣布将不再信任赛门铁克所有 SSL 证书

作者: Kelly

| 2017-08-01 09:09   评论: 6 分享: 1    

今年 3 月谷歌和火狐调查发现赛门铁克未经授权错误签发大量 SSL 证书的严重问题。7 月 28 日谷歌正式宣布不再信任赛门铁克Symantec旗下所有 SSL 证书,GeoTrust、Thawte 和 Rapid SSL 等子品牌也受到同样惩罚。赛门铁克已同意该提案。外媒报道称其已经在考虑出售 CA 业务

事件经过

2017 年 3 月份谷歌和火狐的调查人员发现赛门铁克打破了行业规则,误签发了 127 张 SSL 证书,随着调查进一步开展发现误签发的证书数量达到惊人的 3 万多张!

这个数字震撼了业界专家,因为赛门铁克是市场上最大的 CA 之一,很少有人敢于做出反应。谷歌是第一个对赛门铁克 SSL 发行程序表示不满的,并宣布有意在 Chrome 中逐步删除对赛门铁克证书的支持。

谷歌指出赛门铁克未能正确验证域名,对于申请特殊域名 SSL 证书的申请者身份审核草草了事。此外赛门铁克公司的员工既没有对未经授权发行的证书进行日志审核,也没有对这一缺陷进行改进。因此谷歌认为赛门铁克没有足够的监督能力。

这已经不是谷歌第一次警告赛门铁克错误签发证书的问题

2015 年 9 月和 10 月谷歌发现赛门铁克旗下的 Root CA 未经同意签发了众多域名的数千个证书,其中包括谷歌旗下的域名和不存在的域名。谷歌认为该 Root CA 签发的证书可能被用于拦截、破坏或冒充谷歌产品或用户的安全通信,且赛门铁克在知道以上威胁的情况下也不愿详细说明签发这些证书的用途。

2015 年 12 月谷歌发布公告称 Chrome、Android 及其他谷歌产品将不再信任赛门铁克旗下的“Class 3 Public Primary CA”根证书。

最终结果

起初赛门铁克否认所有不合规行为,称之为“夸张和误导”的结果。尽管如此,赛门铁克已经预见到不好的结果,最终以谈判达成共识。7 月 28 日谷歌宣布了赛门铁克同意的提案,将执行时间从原本计划的今年 10 月份 Chrome 62 延期至明年 4 月份(Chrome 66),分阶段实施并最终完全移除对赛门铁克 SSL 证书的信任。

第一阶段:赛门铁克变成子 CA ,2017 年 12 月 1 日

2017 年 12 月 1 日,赛门铁克与另一个 SSL 证书颁发机构合作以赛门铁克的名称颁发证书。赛门铁克将在技术上成为一家子CASub CA

谷歌和其他浏览器厂商希望将 SSL 签发权转移到另一个 CA 的基础设施上,以防止赛门铁克破坏规则为不应该签发证书的站点颁发证书。与此同时赛门铁克可以默默地准备一个新的基础设施构建其新的 SSL 业务。然而该公司已经开始考虑出售 CA 业务。

第二阶段:Chrome 66 不信任赛门铁克部分证书, 2018 年 4 月

谷歌 Chrome 66 (发布时预计为 2018 年 4 月)将开始第二阶段的惩罚。从 Chrome 66 版本开始,Chrome 将不信任 2016 年 6 月 1 日之前签发的所有赛门铁克 SSL 证书。

第三阶段:Chrome 70 完全不信任赛门铁克所有证书,2018 年 10 月

谷歌 Chrome 70 发布时(预计 2018 年 10 月),Chrome 将不信任 2017 年 12 月 1 日之前签发的所有赛门铁克 SSL 证书。

谷歌 Chrome 将删除赛门铁克当前所有根证书,赛门铁克收购的其他 CA 如 GeoTrust、Thawte 和 Rapid SSL 都将遭受同样的惩罚,FireFox、Safari 等浏览器厂商可能不久后也会跟进。在应用程序或网站上使用了赛门铁克 SSL 证书及其旗下 GeoTrust、Thawte 和 Rapid SSL 证书的网站管理者应尽快替换为其他全球信任的 SSL 证书。



最新评论

来自四川成都的 Safari 10.1|Mac 10.12 用户 2017-08-14 13:27 1 回复
有可能
来自四川成都的 Firefox 52.0|GNU/Linux 用户 2017-08-12 08:57 1 回复
哈哈
arhool [Chrome 50.0|Windows 10] 2017-08-04 01:44 1 回复
这就太尴尬了,不久前还挺运营商鼓吹赛门铁克
来自河南郑州的 Chrome 59.0|Windows 7 用户 2017-08-03 16:27 1 回复
1、赛门铁克SSL证书签发PKI系统将要进行安全升级,谷歌为了督促赛门铁克此次更新,计划在2018年10月23号Chorme70版本发布开始,不再信任赛门铁克未更新的PKI系统签发的证书 ,而非不信任赛门铁克所有的SSL证书,这是一个严重的误读。
2、赛门铁克计划是在2017年12月1号启用全新版PKI认证系统。2017年12月1号之前签发的SSL证书,由未更新的PKI系统签发且有效期超过2018年10月23号,会对客户免费重签发。因此赛门铁克PKI系统的更新对于用户来说绝对安全无影响。
3、关于赛门铁克出售CA证书业务,亦为虚假传闻,没有经过任何官方回应。

敬请
echoma [Firefox 56.0|GNU/Linux] 2017-08-01 12:48 2 回复
这事难道没有挽回的余地了? 听起来赛门铁克好像破罐子破摔了。。
来自四川成都的 Chrome 59.0|GNU/Linux 用户 2017-08-01 11:12 2 回复
Google 自己也在做 CA。不知道如果哪天 Google 也犯錯了,会怎么办?

返回顶部

分享到微信

打开微信,点击顶部的“╋”,
使用“扫一扫”将网页分享至微信。