Jaka piękna katastrofa, czyli czego nie robić z certyfikatami SSL

dodał 1 marca 2018 o 09:18 w kategorii Wpadki  z tagami: • • • •
Jaka piękna katastrofa, czyli czego nie robić z certyfikatami SSL

Certyfikaty SSL to skomplikowana sprawa. Zależy od nich bezpieczeństwo naszej komunikacji w sieci, zatem ich wydawanie i używanie obwarowane jest wieloma surowymi regułami. Ich nieznajomość może okazać się bolesna.

Duży sprzedawca certyfikatów SSL z Wielkiej Brytanii, firma Trustico, popełniła wczoraj fatalną, a wręcz katastrofalną wpadkę. Chcąc prawdopodobnie przenieść klientów do innego dostawcy, przez nieświadomość i buńczuczność prezesa spowodowała, że ich certyfikaty właśnie wygasły.

Krótki wstęp i prosta zasada

W świecie certyfikatów SSL szykuje się mała, od dawna zapowiadana rewolucja, opisywana przez nas kilka dni temu. Z powodu nierzetelności w procesie wystawiania certyfikatów firma Symantec i jej marki pochodne trafiły na czarną listę przeglądarek. Certyfikaty wystawiane dawno temu przestana być traktowane jako zaufane lada dzień, a pozostałe mają jeszcze tylko kilka miesięcy życia przed sobą. Nie jest to duży problem – o ile administrator o tym wie i pamięta, by wystąpić o ich odnowienie. To pierwsza ważna informacja.

Druga jest taka, że w procesie występowania o certyfikat podmiot o niego się ubiegający powinien wygenerować swój klucz prywatny lokalnie i nie udostępniać nikomu – wymagają tego zasady bezpieczeństwa, ponieważ każdy posiadacz klucza prywatnego może odszyfrować ruch zaszyfrowany kluczem publicznym. Gdyby w sieci znalazł się klucz prywatny jakiegoś banku, to połączenia jego klientów mogłyby zostać podsłuchane przez osoby tym kluczem dysponujące.

Trzecia ważna informacja to zasada mówiąca, ze jeżeli klucz prywatny zostanie ujawniony, to wystawca certyfikatu ma obowiązek unieważnić certyfikat w ciągu 24 godzin od ujawnienia.

Skoro macie już te trzy informacje, to czas na danie główne, czyli co działo się wczoraj.

Musimy unieważnić wasze certyfikaty

Firma Trustico, która jest głównym bohaterem tej afery, jest sprzedawcą certyfikatów – sama ich nie wystawia. Wystawia je firma Digicert, która przejęła m. in. biznes Symanteca w tym zakresie. Wczoraj rano klienci Trustico zostali zaskoczeni emailem od firmy Digicert, która poinformowała ich, że posiadane przez nich certyfikaty muszą zostać unieważnione w ciągu 24 godzin z uwagi na incydent który miał miejsce w firmie Trustico. Szczegóły incydentu były niejasne – wiadomo było jedynie, że doszło do ujawnienia kluczy prywatnych certyfikatów. Digicert nie miał w tej sytuacji wyboru – musiał certyfikaty unieważnić. Klienci Trustico byli bardzo zaskoczeni komunikatem – ponieważ Trustico nie przekazało im żadnej informacji.

W ciągu dnia pojawiało się wiele spekulacji, które uciął oficjalny komunikat Digicert. Okazało się, że Trustico zgłosiło się do Digicert z prośbą o unieważnienie certyfikatów swoich klientów wskazując, że ma to związek z planowanym wyłączeniem ich z puli zaufanych certyfikatów w popularnych przeglądarkach. Wymiana certyfikatów na zaufane tak jednak nie działa – wystarczy wystawić nowe i można robić to stopniowo, tak jak robią to wszystkie firmy zajmujące się tym tematem. Trustico zażądało jednak unieważnienia wszystkich certyfikatów wystawionych swoich klientom. Digicert odpowiedział, że może mieć to miejsce jedynie w przypadku, gdyby ich klucze prywatne zostały ujawnione. I co zrobił prezes Trustico? Wysłał 23 000 kluczy prywatnych w emailu do Digicertu. Jako zwykły załącznik.

Pamiętacie, że klucze prywatne powinny być trzymane w tajemnicy? I nie powinny być udostępniane nikomu, nawet wystawcy certyfikatu? Podsumowując działanie Trustico:

  • ujawniło, ze posiada klucze prywatne klientów, co już jest samo w sobie karygodne (dla „ułatwienia” proces generowania certyfikatów odbywał się w całości po stronie Trustico, a firma zatrzymywała na serwerze klucze prywatne tworzone w trakcie całego procesu),
  • wysłało je następnie otwartym tekstem w wiadomości poczty elektronicznej, narażając bezpieczeństwo komunikacji wszystkich swoich klientów na ryzyko podsłuchania.

Digicert w tej sytuacji nie miał innego wyboru, jak certyfikaty unieważnić. Oznacza to, że klienci Trustico dostali znienacka 24 godziny na wygenerowanie i zainstalowanie nowych certyfikatów – inaczej ich strony WWW i inne usługi przestaną być dostępne dla większości użytkowników a bezpieczeństwo komunikacji jest zagrożone.

Sama firma Trustico nie pofatygowała się, by zamieścić na swojej stronie głównej komunikat na temat tej gigantycznej wpadki. Schowana głębiej informacja na temat ostatnich wydarzeń jest tak kuriozalna, że aż szkoda komentować.

Rekomendacje

Krótkie wskazówki dla osób odpowiedzialnych za zamawianie certyfikatów SSL i zarządzanie nimi:

  • nigdy nie generuj klucza prywatnego online i omijaj szerokim łukiem dostawców, którzy oferują taką usługę,
  • klucz prywatny należy chronić jak największy skarb,
  • sprawdź terminy wygasania swoich certyfikatów i zobacz, czy nie będziesz mieć problemów z tymi certyfikatami, których zaufanie wkrótce wygasa.

Na koniec jeszcze krótka wskazówka dla administratorów serwisów WWW, którzy nie korzystają z certyfikatów SSL:

  • zacznijcie.

Przy okazji przypominamy, że opublikowaliśmy poradnik wdrożenia darmowych certyfikatów Let’s Encrypt.

Podobne wpisy