0
Malwarebytes
Google har varnat för att alla intyg som har utfärdats av Kinesiska företag WoSign och dotterbolag StartCom kommer att vara missnöjda med lanseringen av Chrome 61.
Enligt en Google-Grupper inlägg som publiceras av Krom säkerhet ingenjör Devon O ‘ Brien, på grund av att “flera incidenter” med den certifikatutfärdare som har “inte [har] i linje med de höga standarder som förväntas av CAs,” Google Chrome har redan börjat fasa ut WoSign och StartCom genom att bara lita på certifikat som har utfärdats före den 21 oktober 2016.
Tech jätten är snart gå längre och helt kommer att misstro alla certifikat som har utfärdats av företag som inom loppet av några månader.
Chrome-team har begränsat förtroende genom en vitlista av domännamn som är baserade på Alexa Top en miljon webbplatser, och denna lista har skurits ned under loppet av Chrome releases.
När version 61 är klar för offentlig release, denna fullt ut kommer att misstro alla befintliga WoSign och StartCom root-certifikat och alla certifikat som de har utfärdat.
“Börjar med Chrome 61, whitelist kommer att tas bort, vilket resulterar i fullständig misstro mot den befintliga WoSign och StartCom root-certifikat och alla certifikat som de har utfärdat,” ingenjören sa. “Webbplatser som fortfarande använder StartCom eller WoSign-utfärdade certifikat bör överväga att ersätta dessa certifikat som angeläget att minimera störningar för Chrome-användare.”
Flytten till att börja svartlista den CA myndighet som inträffade förra året. I augusti 2016, WoSign fångades utfärdar falska HTTPS certifikat för GitHub domäner, vilket är en allvarlig säkerhetsrisk som en angripare kan använda certifikat för att imitera GitHub domäner för att äventyra användarnas kommunikation.
Google och Mozilla sedan slagit sig ihop för att undersöka den CA och lyckats avslöja andra fall av otillåten certifikat som utfärdas.
Chrome-version 56 var först med att förbjuda certifikat som utfärdats av WoSign och StartCom, efter “tekniska begränsningar och problem” farhågor för att den CA var inte följa med Chrome Intyg politik för Öppenhet.
Mozilla meddelade också planer på att förbjuda nya certifikat undertecknat av WoSign och StartCom via Firefox 51, som släpptes i januari.
Tech jätten sa att WoSign retroaktivt intyg för att undvika en branschgemensam tryck för att utrota den föråldrade SHA-1 algoritm för kryptering, och också anklagade företaget för att vara vilseledande i att förneka sitt ägande av StartCom, en Israelisk certificate authority.
“Nivåerna av bedrägeri framgår av företrädare för det sammanslagna bolaget har lett till Mozillas beslut att misstro framtida certifikat kedja upp till den för närvarande ingår WoSign och StartCom root-certifikat,” sade företaget.
Apple var snabb att följa efter med planer på att misstro några WoSign andStartCom certifikat på individuell basis.
Se även: Hur master Google Chrome
Eftersom företaget hade antagit Google Chrome och användning priserna fortsätter att stiga i Maj, Google rullat ut uppdateringar till Chrome som ger IT-administratörer en enda installation av paket att hämta, som innehåller Krom MSI, Chrome Äldre Webbläsare (LBS) förlängning, och administrativa -, policy-mallar
0