Удостоверяющим центром компании Symantec был выпущен сертификат для доменов google.com и www.google.com. Об этом сообщается в блоге корпорации.
Сертификат был выпущен 14 сентября удостоверяющим центром Thawte, который принадлежит компании Symantec. Произошло это без разрешения или запроса со стороны Google. Причем это был не простой сертификат, а Extended Validation (EV). Получается, что это первый зафиксированный случай нелегального выпуска EV сертификата.
Выпуск сертификата, как утверждают в Symantec, стал возможным в результате внутреннего тестирования. Срок его действия – 1 день. Тем не менее, Google уже включил его в список отозванных для своего браузера Chrome. Представители Google заявили, что не видят причин полагать, что пользователи были подвержены риску в результате происшедшего.
Примечательно, что сертификат был обнаружен при помощи относительно нового механизма — Certificate Transparency. Такая технология была разработана специально для того, чтобы любой владелец домена мог узнать, какие сертификаты выпущены для его домена и обнаружить мошеннические. Благодаря Certificate Transparency информация обо всех выпущенных удостоверяющим центром сертификатах попадает в открытый лог. Производя мониторинг этого лога, можно обнаружить выпущенные для вашего домена сертификаты.
Описанный случай — первый неавторизованный выпуск сертификата, который был зафиксирован при помощи Certificate Transparency. На многих информационных источниках указано, что сертификаты были фальшивыми и сотрудники Symantec, которые отвечали за этот процесс уже уволены.
Источник http://m.habrahabr.ru/
