您的位置:主页 > 瘦身专区 > 甩脂机 >

Mozilla警告证书颁发机构关于发布MITMSSL证书

2019-09-02     来源:秦风网         内容标签:Mozilla,警告,证书,颁发,机构,关于,发布,MITM

导读:Mozilla高管正在考虑向证书颁发机构(CA)发送信件,警告他们发布从属根证书将违反其根CA计划政策。草稿信已发布在Trustwave自愿撤销已发给客户的证书几天后,在Mozilla.dev.security.polic

Mozilla高管正在考虑向证书颁发机构(CA)发送信件,警告他们发布从属根证书将违反其根CA计划政策。

草稿信已发布在Trustwave自愿撤销已发给客户的证书几天后,在Mozilla.dev.security.policy上,并表示将来不会颁发类似的证书。Trustwave的SpiderLabs负责人NicholasPercoco表示,颁发该证书是一次性交易。

“在Mozilla中根据CA的下属CA链接程序不能用于MITM或者对该方未合法拥有或控制的域名或IP进行流量管理,无论其是否处于封闭和受控制的环境中,“Mozilla的CA证书模块的所有者KathleenWilson在2月份写道。12草案。

Trustwave发布了一个从属根,未被命名的公司客户使用该根来查看和监控员工的互联网活动,即使会话是加密的。所谓的中间人攻击证书安全地存储在数据泄露防护产品中。Percoco说,Trustwave决定放弃这种做法,因为“去年的事件”。

进一步阅读Brinqa如何为网络风险带来可行的见解......Splunkvs.LogRhythm:SIEMHead-to-Head

正在起草的信件将发送给目前包含在Mozilla可信根目录中的所有CA,并警告说,不会容忍发布可用于窃听流量的从属证书.Mozilla的草稿明确表示不会容忍窃听,无论客户是打算只在自己的网络上还是在其环境之外进行窃听。

“请检查所有从属CA以确保不能以这种方式使用它们”,Wilson中写道。根据信函,审查应该包括扩展验证安全套接字层(SSL)证书,以确保它们也不会以这种方式使用。

可用于此的现有从属CA威尔逊说:“必须撤销这种窃听目的,并且必须撤销任何相应的HSM[硬件安全模块]。”虽然不清楚这封信何时发出,但公司将有大约两到三个月的时间根据威尔逊的说法,收到了要采取行动的信件后。

一些安全和隐私专家呼吁Mozilla将Trustwave从其受信任的根列表中删除,以免违反信任。

“无论如何事实上,Trustwave已经意识到这不是一个好的商业实践,损害已经完成,“华盛顿特区安全和隐私研究员ChristopherSoghoian在关于Mozilla的Bugzilla的讨论主题上写道错误跟踪系统。

Mozillad倾向于采取这一步骤,并指出Trustwave已自愿撤销并披露了该问题。Mozilla的Firefox工程总监JohnathanNightingale表示:“我们鼓励任何其他具有类似证书的CA遵循Trustwave的披露和撤销示例。”

如果发现证书颁发机构仍在使用Mozilla将在信函中的日期之后签署中间证书,包括从其可信列表中删除根证书。

“根据Mozilla的评估,我们也可能会删除根据这封信,你的任何其他根证书,以及来自其他签署证书的组织的根证书。

安全专家和隐私权倡导者质疑为什么Trustwave首先颁发了证书,虽然Trustwave声称其他CA据称颁发了类似的证书,并且这是该行业的“普遍做法”,但没有人承认参与最近的争议.Cododo的首席执行官MelihAbdulhayoglu声称他的公司已经拒绝了发出

文章链接地址:http://www.cywimg.com/shoushenzhuanqu/shuaizhiji/201909/1501.html

上一篇:Digium发布SwitchvoxSMB4.5
下一篇:没有了

甩脂机相关文章