标签: CA

黑客正在销售合法的代码签名证书

安全研究人员报告,黑客正在销售合法的代码签名证书去签名恶意代码绕过恶意程序检测。流行的操作系统如 Mac 默认只允许运行使用有效签名的应用。黑客或恶意程序作者为了绕过恶意程序检测通常会利用窃取的企业证书签名代码。 然而研究人员发现黑客销售的证书来自知名的 CA 如 Comodo、 Symantec 和 Thawte,甚至还有苹果,普通证书售价 299 美元,EV 证书售价 1599 美元。 研究人员称,黑客在六个月内售出了 60 多个证书,但随着更廉价的混淆技术的流行销量出现了下滑。 稿源:cnBeta、solidot,封面源自网络;

CASC 发布首个代码签名标准化准则

综合 CA 及代理商消息,证书颁发机构理事会( CASC )近期发布了首个关于代码签名的标准化准则。Microsoft 作为第一个采用并实施该最低要求准则,设置合规截止日期为 2017 年 2 月 1 日。 根据这一准则要求,代码签名证书(私钥)必须存储在硬件令牌( USBKEY )或 HSM 中,在 2017 年 2 月 1 日后签发的所有代码签名数字证书都必须使用 USBKEY 硬件存储保护证书私钥,以降低私钥被窃的可能性。(当前全球 CA 签发的 EV 代码签名数字证书已全部实现硬件令牌) 目前,在在华从事 CA 业务的 CA 和 CA 代理商中,已声明执行该准则的 CA 品牌有:GlobalSign、WoSign。 稿源:cnBeta;封面源自网络

Google 推出自有 CA 根证书:将延伸至所有产品与服务

Google 已经正式宣布推出自有 CA 根证书,这意味着该公司在“自力更生”的道路上更进了一步。这项措施将确保 Google 能够摆脱对由第三方签发的中级证书颁发机构的依赖(本例中为 GIAG2)。该公司一直致力于为全线产品和服务推出 HTTPS 服务,而这显然需要寻求一个更快的方法和更多的控制。 这也是“谷歌授信服务”(Google Trust Services)诞生的基础,它将代表 Google 及其母公司 Alphabet 来运营这些 CA 根证书服务。当然,整个过程还是需要一定时间的。因此 Google 收购了两家现有的根证书机构 —— GlobalSign R2 和 R4 —— 以便该公司更快地开始发行自有证书。 稿源:cnbeta,有删改,封面来源:百度搜索

火狐或考虑信任广东数字证书认证中心

前段时间 沃通和 StartCom 引发的 CA 信任危机,导致火狐取消对两者证书的信任。近日 Google+ 社区有消息透露称火狐正在考虑将广东数字证书认证中心加入根证书,用户们在社区中展开了激烈讨论,其中亦有用户指出认证中心官网存在严重漏洞、提交给火狐的证书策略中英文版本有出入,并就此请求火狐拒绝广东数字证书认证中心的信任请求。由此可见,此次 CA 信任危机也影响了全球用户对中国 CA 的信任。 稿源:本站翻译整理,封面来源:百度搜索

全球最大证书颁发机构(CA)也发错证书

Comodo (科摩多)是世界上最大的证书颁发机构(CA),迄今为止在 HTTPS  SSL 证书市场中处于领先地位。 近日科摩多表示 已修复 证书自动颁发程序的漏洞,目前该机构 已处理曾允许攻击者请求并成功颁发不属于自己网站证书的缺陷机制。 科摩多的自动验证程序会将 Whois 记录中注册者邮件与请求证书验证的邮件做对比,系统将域名以图片形式存储再利用图像识别技术匹配两者信息。而此次出现缺陷的原因在于 OCR 识别模块无法将小写字母 “l” 与数字 “1”、字母”o”和数字”0″区分开来,另外该组件在读取”L / 1″时,如果字符后的是数字将会当成是”1″,紧随其后的是字母则会认为是小写 “l”。研究人员以域名“altelekom.at”、“a1telekom.at”作为测试请求证书也获得了通过。 安全公司在今年 9 月通报了这个漏洞,然而调查发现漏洞在科摩多自动验证程序中存在已久,目前 Mozilla 工程师们也在积极报告处理这个问题。 稿源:本站翻译整理,封面来源:百度搜索