This article is an automated machine-translation of an article in English. We know the translation isn't perfect, but we hope it's useful for people who don't read English.

터키어 인증 기관 쓰레기라는이 시도 구글 도용로 연결

Filed Under: Apple Safari, Featured, Firefox, Google, Google Chrome, Internet Explorer, Privacy, Vulnerability, Web Browsers

Shutterstock의 깨진 자물쇠 예의 어떤 날 나는 느낌 처럼 깨진 기록 보관 반복 같은 이야기를 . 오늘의 반복 뮘? Google 사용자가 될 수 선도적 인 인증 기관 (CA) 문제 증명서는시 염탐.

구글은 먼저 크롬의 사용 문제를 발견 인증서를 자동 지정을 라는 블로그 게시물에 따라, 12 월 24 일에, "강화 디지털 인증서 보안."

이 알림이 사전에 관리인까지 큰 사고의보다 더 많은 디지털 인증서의 안전을 향상에 대해 전혀 아니었다대로 그 제목은 조금 잘못된 것입니다.

알 수없는 Google 크롬 사용자는 실제로 Google에 속해 있지 않은 validly 서명 구글 인증서에 경고했다.

누군가가 구글위한이 사용자의 보안 통신에 대한 사람이 중간에 개입하는 공격을 수행하려고 시도했습니다.

우리는이가 발생 어딘지 모르겠어요하지만 기술적으로 매우 중요하지 않습니다. 이 인증 기관 중 하나를 필요는 없습니다 사람에게 인증서를 발급하거나 손상된 것을 의미합니다.

어떻게 내가 생각하는 건 내가 전에 말했듯이 무엇 : 우리는 SSL / TLS 시스템을 기반으로 현재 인증 기관을 신뢰할 수 없습니다. 깨 나는 쉽게 해결 될 수 있다고 생각하지 않습니다.

SSL 로고를 TurkTrust Google은 인증서에 서명 체인을 검토 한 결과, 가짜 *을 결정. google.com 증명서 터키어 CA의 TURKTRUST로부터 권한을 얻은 중간 인증 기관 (CA)에서 발행되었습니다.

이 중간 인증서 이상을 검토 한 사실에 매우 이상했다. 그것은 존재하지되었습니다.

사건을보고 한 후, TURKTRUST은 실수로 가짜 구글 인증서를 서명하는 데 사용 포함하여 2011 년 8 월 대신 일반 사이트 인증서의 두 중개 인증서를 발급 한 발견했습니다.

중간 인증서가 정확히 무엇입니까? 전체 SSL / TLS 인증서 과정을 설명하지 않고, 중간 인증서는 기본적으로 모든 도메인 이름에 대한 인증서를 만들 수있는 마스터 키입니다.

이 인증서는 최종 사용자가 뭔가 잘못입니다 경고없이 웹 사이트 브라우저로 가장하는 데 사용할 수 있습니다. 아직도 자물쇠를 얻을 여전히 유효로 모든 것을 보여줍니다.

당신은 보안 표시 할 브라우저에 자물쇠를 신뢰하는 경우, 당신은 모질라, MS와 구글에 의해 신뢰 ~ 150 인증 기관 (CA)을 신뢰하지 않습니다.

EFF SSL 전망대 에 따르면 EFF의 SSL 전망대 , 2010 년 샘플 MS 윈도우에서 파이어 폭스의 사용자는 1482 서로 다른 서명 기관 (중개 인증서 포함), 평균 사용자가 맹목적으로 신뢰하는 것 중 모든 발생했습니다.

당신이 그들을이 아닌 하나 하나가 트래픽에 그들 중 아무도 바이러스가하거나 도청을 도와 정부에 의해 해킹되어 그 중 아무 것도 강요하고 있지 않습니다 뒤져 싶은 사람과 짜고 이러는하기로 결정했다고 믿을 수 아르 .

으흠.

그래서 다시 한번 우리는 이러한 인증서를 취소하고 TURKTRUST에 넣어 얼마나 미래를 신뢰 결정의 과정을 거칩니다.

Google은 12월 26일부터 크롬 사용자를위한 잘못 발급 중개 인증서에 의해 서명 된 인증서를 차단했습니다. 나중에 이번 달 그들은 확장 유효성 검사를 (주소 표시 줄에 녹색 하이라이트)되어 표시 TURKTRUST이 서명 인증서에 대한 능력을 철회 할 수 있습니다.

Microsoft는 권고를 발행 Windows의 지원되는 모든 버전에 대한 중개 인증서의 서명이 모든 인증서를 취소 오늘. 윈도우 8/Server 2012/RT 사용자는 자동 업데이트를 받게됩니다, Windows의 이전 버전을 사용하는 Windows Update를 사용해야합니다.

모질라 로고 Mozilla는 발행 진술 들은 파이어 폭스의 다음 릴리스 1월 8일 (아마 태평양 표준시), 다음주 화요일 두 중개 인증서를 취소 될 것입니다 발표합니다.

모질라는 일시적으로 추가 검토를 보류 완전히 TURKTRUST의 루트 인증서를 취소합니다.

그들이 선택하는 경우 사용자가 수동으로 신뢰할 수있는 루트 인증 기관 목록에서 TURKTRUST를 제거 할 수 있지만 오페라는 코멘트를 아직 있습니다.

그들은이 증명서로부터 악영향에 대해 사파리와 iOS 사용자를 보호하기 위해 조치를 취할 것입니다 때 또는 경우 애플은 항상 같은 댓글하지 않았습니다.

정말 우리가이 20 세, 제대로 구현 시스템에서 이동 시간입니다. 가 있는지 여부를 HTTP에 대한 공개 키 달아 확장 , 컨버전스 인증서 키 (대한 주장 신뢰할 수있는, 압정으로 고정 ) 또는 DNSSEC-TLS를 , 우리가 뭔가를 선택하고 구현 시작 해요.

우리가 뭘 때려 완벽 할 필요는 없습니다. 우리는 재미 회의 10 년이 제안의 장점과 약점을 주장 있었다. 우리가 작동시킬 때입니다.

깨진 자물쇠 Shutterstock의 이미지 예의.

You might like

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

About the author

Chester Wisniewski is a Senior Security Advisor at Sophos Canada. He provides advice and insight into the latest threats for security and IT professionals with the goal of providing clear guidance on complex topics. You can follow Chester on Twitter as @chetwisniewski, on App.net as Chester, Chester Wisniewski on Google Plus or send him an email at chesterw@sophos.com.