Google оголосила про виключення з довірених списків Chrome двох впливових центрів сертифікації після року систематичних порушень. Chunghwa Telecom з Тайваню та угорська Netlock втратили статус надійних партнерів найпопулярнішого браузера світу.
Протягом останніх місяців команда безпеки Chrome фіксувала численні випадки недотримання стандартів з боку обох організацій. Порушення включали невиконання зобов'язань щодо покращення роботи та відсутність відчутного прогресу після публічних звітів про інциденти.
Центри сертифікації контролюють безпеку мільярдів веб-сайтів, видаючи цифрові сертифікати, які шифрують трафік та підтверджують автентичність ресурсів. Коли користувач бачить зелений замочок у адресному рядку, це означає, що сайт захищений сертифікатом від довіреного центру.
Дослідник Райан Херст, який має понад 20 років досвіду роботи з центрами сертифікації, виявив серйозні недоліки в роботі обох організацій:
- Netlock не розкривала інформацію про проміжний сертифікат у загальній базі даних протягом більш ніж року;
- Компанія не відкликала помилково виданий сертифікат та не надавала обов'язкові щотижневі оновлення щодо інциденту безпеки.
Chunghwa Telecom також допустила критичні помилки. Компанія затримала відкликання неправильно виданого сертифіката та помилково видала 247 сертифікатів з некоректною структурою доменних імен.
За статистикою, подібні випадки позбавлення довіри відбуваються приблизно раз на 15 місяців. Ринок SSL-сертифікатів оцінюється в понад 8 мільярдів доларів щорічно, а Chrome контролює близько 65% світового браузерного ринку.
З 31 липня Chrome припинить довіряти всім сертифікатам, виданим цими організаціями. Сайти з такими сертифікатами відображатимуть сторінку помилки для користувачів браузера. Відстрочка надана для того, щоб клієнти встигли знайти альтернативних постачальників.
Представники обох компаній не відповіли на запити коментарів. Це рішення підкреслює важливість дотримання суворих стандартів безпеки в екосистемі інтернету, де довіра користувачів залежить від надійності кожної ланки захисту.
