Resumo:
Na semana passada, a emissão da chave privada do certificado eMudhra da Indian Caotai Company atraiu a atenção de toda a indústria. Todos os oito certificados intermediários de CA emitidos pela empresa usavam chaves fracas. Entre eles, a chave privada do certificado EM OV TLS CA-G3C foi exagerada para apenas o número 4, para que qualquer pessoa possa usar diretamente este certificado para emitir subcertificados para outros nomes de domínio.
No entanto, esses certificados problemáticos foram revogados por navegadores e sistemas operacionais. No entanto, alguns dispositivos podem não verificar a lista de certificados revogados ou não conseguir obter atualizações. O certificado revogado ainda é confiável e o subcertificado usado para emissão ainda pode ser usado.
Portanto, os entusiastas emitiram 106.000 certificados para nomes de domínio do Google:
Para testar o uso do eMudhra para emitir certificados para qualquer nome de domínio, o nome de domínio de primeira escolha é, obviamente, Google (assim como os usuários domésticos abrem o Baidu para verificar se estão conectados à Internet), então o atual registro de transparência do certificado CT registrou que os entusiastas emitiram até 106.000 certificados para o nome de domínio principal do Google, Google.com.
Atualmente, o registro de transparência de certificados registra 107.000 registros de emissão, 99% dos quais usam nomes de domínio do Google como objetos de teste. Esses certificados podem ser autenticados pela chave pública da CA, mas como o certificado intermediário foi revogado pelo navegador, o acesso real será bloqueado (a menos que o registro de revogação não possa ser verificado).
Por que os certificados emitidos por mim podem ser registrados pelo CT:
Como a emissão do certificado e o registro do log CT são processos diferentes, em circunstâncias normais a CA usa a chave privada intermediária da CA para emitir o certificado após verificar o controle do nome de domínio. Alguém com a chave privada vazada pode criar um certificado localmente, escrever qualquer nome de domínio no campo de nome DNS e usar a chave privada para assinar.
A RFC 9162 estipula que qualquer pessoa pode enviar um certificado ao registro CT e anexar a cadeia de certificados para inspeção do registro. O log CT é responsável por registrar e divulgar o certificado para revisão externa do status de emissão da CA e não é responsável por revisar os direitos de controle de nome de domínio da CA. Portanto, os entusiastas podem verificar se o submetem ao registro do CT ao emitir certificados.
Comentários