public service announcement

[wizzard]

Всем, кто еще не обновил свои CRL – обновите. Или не ходите на эти домены :D
Вообще, ситуация с информационной безопасностью становится всё веселее и веселее.

Fraudulently issued certificates: 9 certificates were issued as follows:

Domain:  mail.google.com
Serial:  047ECBE9FCA55F7BD09EAE36E10CAE1E

Domain:  www.google.com
Serial:  00F5C86AF36162F13A64F54F6DC9587C06

Domain:  login.yahoo.com
Serial:  00D7558FDAF5F1105BB213282B707729A3

Domain:  login.yahoo.com
Serial:  392A434F0E07DF1F8AA305DE34E0C229

Domain:  login.yahoo.com
Serial:  3E75CED46B693021218830AE86A82A71

Domain:  login.skype.com
Serial:  00E9028B9578E415DC1A710A2B88154447

Domain:  addons.mozilla.org
Serial:  009239D5348F40D1695A745470E1F23F43

Domain:  login.live.com
Serial:  00B0B7133ED096F9B56FAE91C874BD3AC0

Domain:  global trustee
Serial:  00D8F35F4EB7872B2DAB0692E315382FB0

via http://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html

Comments

[the-aaa13.livejournal.com]

А можно подробнее для чайников, что делать-то?

[wizzard]

Короче, пока вы не обновили сертификаты - у людей, которые сделали себе фейковые, есть возможность показать вам страничку Гмейла, которая будет неотличима от настоящей, но трафик будет идти через их сервера (с возможностью перехвата, модификации и т.д.)

Что делать - зависит от ОС и браузера. Винда стащила критическое обновление (KB2524375) с обновленными черными списками сертификатов (для IE, Chrome и прочих прог, которые используют виндовый HTTPS стэк), а Opera и Firefox используют свои собственные CRL-списки, и я пока что *не вижу* в блеклистах этих сертификатов, что настораживает.

Можно экспортировать их из винды и импортировать туда руками, но вообще очень-очень интересно, неужели про процедуру отзыва сертификатов никто, кроме MSFT и GOOG не подумали?

Выглядеть это должно примерно так:

[109.livejournal.com]

а почему "issued by verisign", если обосралась comodo?

[wizzard]

Посмотри на даты выдачи - верисигн тоже обсирался, но намного раньше

[wizzard]

Тьфу, дат выдачи там не видно, но думаю из expiration идея понятна.

[http://users.livejournal.com/_winnie/]

Для чайников ничего не ясно!

Нажал на кнопочку update в FireFox. Предложил обновиться с 3.6 на 4.0. Про сертификаты ничего не сказал.

[wizzard]

http://wizzard0.livejournal.com/201135.html?thread=1360303#t1360303

[teak]

Вроде Убунта ничего обновлять не хочет, надо вручную что ли делать?

[wizzard]

http://wizzard0.livejournal.com/201135.html?thread=1360303#t1360303

Видимо, вручную :(

[maxim.livejournal.com]

У меня такого нету ни на одном компе.
Есть проблемы только с сертификатами пикасы, правда, надо признать.

[wizzard]

такого = апдейт не пришел?

Тогда лучше поставить руками, имхо.

[maxim.livejournal.com]

О, после этого апдейта пикаса начала работать.