数字证书注定没戏了?

文章正文
发布时间:2024-07-29 12:37

数字证书已变得使用太不方便,因而不值得信任?

数字证书对于互联网上所用的SSL安全模型来说极其重要,它可以确保用户与他们访问的网站之间有一条安全、加密的直接连接。但是如果攻击者闯入了认证机构,为合法网站颁发虚假证书,那一切努力都付之东流了,尤其是说到窃听。

数字证书注定没戏了?

比如今年7月初,以欺诈手段获得的数字证书(由荷兰认证机构DigiNotar颁发)被用来针对Gmail用户发动中间人攻击。攻击者钻空子得逞后,得以读取广大受害者的电子邮件。

英国电信集团(BT)的首席安全技术官Bruce Schneier在博文中说:"这起攻击表明了SSL存在的许多安全问题当中的一个:单一信任点实在太多了。"换句话说,只要破坏了这些信任点中的任何一个,安全也就荡然无存。

以DigiNotar案为例,直到这起事件闹得相当大了,这家荷兰的认证机构(CA)才发现其安全漏洞,更不用说承认了。Sophos加拿大公司的高级安全顾问Chester Wisniewski在博文中表示,荷兰政府事后委托第三方机构,对这起事件进行了调查。据调查的初步结果显示,DigiNotar的信息安全工作做得很差劲,包括没有集中式日志,没有集中管理关键部件,使用过时、没有打补丁的软件,以及管理员密码通过蛮力攻击就很容易被破解。他说,此外,"所有的证书服务器都属于一个Windows域,那样只要闯入一个管理员帐户,就能控制一切。"

根据那些发现的结果,荷兰政府接管了原先归总部设在芝加哥的Vasco所有的DigiNotar。荷兰检察官表示,他们在评估要不要以刑事过失的罪名起诉DigiNotar的工作人员。

值得关注的是,据Vasco上周发布的一份声明显示,那个破坏性的漏洞归因于2011年上半年收入将近141000美元的这家认证机构被人钻了空子。而之前,谷歌、微软和Mozilla等厂商曾要求针对该漏洞编写补丁程序。该声明还承诺,DigiNotar"预计会在本周底之前为其所有客户拿出解决方案",并"预计这起事件引起的损失会降至最低。"

不过在随后写给投资者的一封未注明日期的善后信中,Vasco改变了调调;声称尽管该公司在2011年1月收购了DigiNotar,并计划在2012年之前将DigiNoatar的产品完全集成到自己的产品中,但Vasco自己的产品仍然"100%不用DigiNotar的证书。"

换句话说,DigiNotar似乎注定没戏了。近日,Mozilla发布了前所未有的一则声明,表示会永久性阻止每一个DigiNotar证书。Firefox工程主管Jonathan Nightingale在博文中说:"在今年早些时候的一起事件中,我们与数字认证机构Comodo一起阻止了一套被误颁发的证书;Comodo及时发现了这些证书,采取了遏制措施,并且立即向我们报告。相比之下,在DigiNotar案中,我们不能肯定问题已得到了遏制。此外,他们没有通知我们,因而我们对于自己能否保护用户、避免将来的此类泄密事件深表担忧。"谷歌和微软同样已开始永久阻止DigiNotar的证书。

DigiNotar受到惩罚,是因为它没有迅速如实说来。Nightingale说:"秘密地确保SSL体系的完整性是不可能的。诸如此类的事件表明了认证机构与软件开发商之间需要积极的、迅即的而全面的联系与沟通,那样才能让我们的共同用户在网上安全。"

但是DigiNotar遭攻击表明了要破坏SSL是何等容易,也表明了引起的严重后果,哪怕有明确的沟通渠道。这会不会导致对认证机构进行改革或进行监管?印第安纳大学应用网络安全研究中心的研究员Christopher Soghoian近日通过推特表示:"鉴于有人(可能来自伊朗)为美国中情局网站(CIA.gov)获得了合法的HTTPS证书,我在想美国政府会不会注意这种混乱的局面。"

近日,卡巴斯基实验室的高级反病毒研究人员Roel Schouwenberg在博文中表示,DigiNotar遭攻击所带来的政治影响将不亚于Stuxnet,"将使网络战争放到西方国家政府的政治议程的首要或重要位置。"此外,他认为DigiNotar并不是一起孤立的事件。"由于全球有大约500家认证机构,很难相信DigiNotar是外头唯一受到危及的认证机构。"

Schouwenberg的预测很正确。近日,一名攻击者声称对DigiNotar遭攻击事件负责,他所用的"Comodo黑客"Pastebin帐户正是今年早些时候用来钻Comodo认证机构空子的那个帐户。

尽管DigiNotar漏洞已被发现,但那位Comodo黑客声称控制了更多的认证机构。据Pastebin上的帖子声称:"我访问了另外4家非常知名的认证机构,我可以通过它们来颁发证书,但我不想说出它们是谁。"Comodo黑客还声称访问了StartCom认证机构,但是被硬件安全模块阻止了。此外,该攻击者声称最近成功访问了数字认证机构GlobalSign,承诺很快会演示过程。

遗憾的是,SSL方面似乎缺少应急解决办法。Sophos的Wisniewski说:"这起事件切实表明了如今在网上所用的SSL/TLS证书信任模型是何等脆弱。我希望替代技术会迅速采用起来,比如专门研究隐私、匿名和计算机安全的实验室研究员Moxie Marlinspike提出的Convergence,从而让我们对于网络通信的安全性更放心。"

Convergence是Marlinspike提出来的一种方案,它采用了众包(crowdsourcing)的方式来验证证书,即比较全球各地访问某个特定网站的广大用户收到的证书,从而帮助确定这些证书是否合法。但是这个方法比较新,到目前为止只是用作Firefox插件。不过它也许向前迈出了一步,将来需要对认证机构的信息安全和商业做法进行重大改革。

责编:孔维维

vsharing

微信扫一扫实时了解行业动态

portalart