В четверг, 23 марта, инженеры Google Chrome сообщили о намерении постепенно исключить старые SSL-сертификаты Symantec из списка доверенных и сократить срок действия новых. Причиной послужил ряд серьезных промахов со стороны Symantec. К примеру, в сентябре 2015 года принадлежащий компании центр сертификации Thawte по ошибке выпустил поддельные сертификаты для двух доменов Google.
В январе текущего года Google начала собственное расследование проблем, и по его результатам было решено принять ряд ограничительных мер. Изначально инженеры компании проанализировали 127 случаев ошибочных выпусков сертификатов, однако, как показало более подробное изучение логов Symantec, за несколько лет по ошибке было выпущено свыше 30 тыс. сертификатов.
В результате расследования также были выявлены проблемы Symantec с проверкой подлинности доменов. Более того, сотрудники компании не проверяют собственные журналы на наличие свидетельств ошибочных выпусков сертификатов и даже не пытаются усовершенствовать процедуру выпуска с целью избежать подобных проблем в будущем.
Несмотря на занимаемую Symantec позицию на рынке SSL-сертификатов, Google решила пойти на крайние меры. Начиная с Chrome 61, новые сертификаты Symantec будут считаться действительными только в течение девяти месяцев. То есть, если владелец сайта получит новый сертификат Symantec, Chrome будет принимать его как доверенный только девять месяцев, даже если для других браузеров этот срок составляет три-четыре года.
Google уведомила о своих планах другие компании, такие как Apple, Microsoft и Mozilla, однако пока что никто из них не намерен последовать ее примеру.
Источник: securitylab.ru
