صدور گواهینامه‌های غیرمجاز گوگل

[Fahomag]

هفته گذشته گوگل از گواهینامه‌های غیر مجازکه توسط موسسه اطلاعات ملی (NIC) هند صادر شده بود، مطلع شد. این گواهینامه های غیرمجاز را می توان برای راه اندازی سایت های جعلی Google بکار برد.

بلافاصله پس از کشف این گواهینامه‌های غیر مجاز توسط گوگل، مرکز نظارتی CCA یا Controller of Certifying Authorities در وزارت ارتباطات هند، اقدام به ابطال آن‌ها نمود.

مرورگرهای فایرفاکس، کروم و سایر محصولات گوگل در معرض خطر این کلاهبرداری نخواهند بود اما باتوجه به اینکه مرکز صدور گواهینامه‌های هند از مراکز مورد اعتماد مایکروسافت است به صورت پیش‌فرض به این گواهینامه‌ها اعتماد می‌نماید و به همین علت شرکت مایکروسافت نیز هشدار امنیتی ۲۹۸۲۷۹۲ را منتشر کرد.

درسیستم‌عامل‌های جدید مایکروسافت از قبیل Server 2012، Windows 8.1، Windows 8 و Server 2012 R2 به صورت پیش‌فرض یک سیستم به روزرسانی برای CTL وجود دارد و به همین علت کاربران این سیستم‌عامل‌ها نیاز به انجام اقدامی ندارند و Windows آنها بطور خودکار به روز خواهد شد اما سیستم‌عامل‌های قدیمی تر Server 2008، Windows 7، Windows Vista و Server 2008 R2 سیستم به روز رسانی CTL باید توسط کاربر اجرا شود.

Windows XP که دیگر تحت پوشش خدمات پشتیبانی مایکروسافت نیست، از امکانات امنیتی از این قبیل بی بهره است.

کاربران کروم سیستم‌عامل ویندوز نیز به شکل پیش‌فرض توسط certificate pinning محافظت شده هستند. همچنین گوگل CRLSet ها را برای مسدود کردن دامنه‌های مشکل‌دار به‌روز رسانی کرده است.


http://fahomag.com/fake-google-ssl-certificates.html