专栏首页FreeBufGoogle全系列产品不再信任赛门铁克某款根证书

Google全系列产品不再信任赛门铁克某款根证书

Google宣布在接下来的几周,Google会在Chrome、Android和其他Google产品中将把赛门铁克颁发的“Class 3 Public Primary CA”根证书设为不可信。

接下来的几周,Google会在所有的Chrome、Android和Google产品中将把赛门铁克颁发的“Class 3 Public Primary CA”根证书设为不可信。

我们这么做是为了回应赛门铁克公司的通知,这份通知称,自2015年12月1 日起,赛门铁克决定此根证书不再遵从CA/浏览器论坛的基准要求。由于这些基准要求反映的是行业的最佳方案,是证书可信的基础,拒绝遵守这些要求会给Google产品的用户带来巨大风险。

赛门铁克已经告知我们,他们不会将此证书用于其它目的。但是,由于此根证书不会在遵守CA/浏览器论坛的基准要求,Google公司不能保证此根证书或以此根证书签发的其他证书不会被用来拦截、干扰或伪造用户们的加密通讯。

由于赛门铁克公司拒绝说明这些证书的新用途,并且他们知晓这对Google用户们的风险,他们已经请求Google采取预防措施移除这款根证书。这个措施非常有必要,因为这款根证书在Android、Windows、和早于10.11版本的OS X 系统中都是可信的。

赛门铁克表示,他们不认为他们运行安全网站的客户们会受此影响,赛门铁克还表示,据他们所知,访问使用了赛门铁克证书的网站的客户们也不会受此影响。

根证书的更多技术信息:

Friendly Name: Class 3 Public Primary Certification Authority Subject: C=US, O=VeriSign, Inc., OU=Class 3 Public Primary Certification Authority Public Key Hash (SHA-1): E2:7F:7B:D8:77:D5:DF:9E:0A:3F:9E:B4:CB:0E:2E:A9:EF:DB:69:77 Public Key Hash (SHA-256): B1:12:41:42:A5:A1:A5:A2:88:19:C7:35:34:0E:FF:8C:9E:2F:81:68:FE:E3:BA:18:7F:25:3B:C1:A3:92:D7:E2 MD2 Version Fingerprint (SHA-1): 74:2C:31:92:E6:07:E4:24:EB:45:49:54:2B:E1:BB:C5:3E:61:74:E2 Fingerprint (SHA-256): E7:68:56:34:EF:AC:F6:9A:CE:93:9A:6B:25:5B:7B:4F:AB:EF:42:93:5B:50:A2:65:AC:B5:CB:60:27:E4:4E:70 SHA1 Version Fingerprint (SHA-1): A1:DB:63:93:91:6F:17:E4:18:55:09:40:04:15:C7:02:40:B0:AE:6B Fingerprint (SHA-256): A4:B6:B3:99:6F:C2:F3:06:B3:FD:86:81:BD:63:41:3D:8C:50:09:CC:4F:A3:29:C2:CC:F0:E2:FA:1B:14:03:05

假证书现象

今年10月,赛门铁克旗下的Thawte CA在Google不知情下为google.com和 www.google.com域名颁发了一个扩展验证前证书(Extended Validation pre-certificate)。

Google是从Chrome自动转发的证书透明度日志中发现这一情况。Google和赛门铁克讨论了这个问题,对方证实证书是在内部测试流程中颁发的,有效期只有一天,没有泄露出去,没有影响到用户。赛门铁克随后表示,它解雇了相关雇员,并展开了内部审查,发现了其雇员还为23个域名颁发了测试证书,其中包括Google和Opera。

今年4月,谷歌和火狐浏览器都宣布不再信任中国CNNIC数字证书,原因是埃及MCS Holding公司使用CNNIC签发的中级证书为多个Google域名签发了假的证书。

*参考来源:Google Online Security & Solidot,FB小编Sphinx编译,文章有修改,转载请注明来自Freebuf黑客与极客(FreeBuf.COM)

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2015-12-14

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 赛门铁克即将出售SSL业务:与谷歌的争端所致?

    据报道,DigiCert 即将收购赛门铁克的 Website Security 网站安全业务。赛门铁克董事会已经全体通过这项决议,根据条款,收购预计将在 201...

    FB客服
  • 斥资107亿美元,博通收购赛门铁克旗下的企业安全业务

    8月8日,博通(纳斯达克证券代码:AVGO)正式宣布,公司将以107亿美元的现金收购杀毒软件厂商赛门铁克旗下企业安全业务。

    FB客服
  • 37岁老牌安全公司赛门铁克卖身,尚能饭否?

    8月8日,博通正式宣布,将以107亿美元收购杀毒软件厂商赛门铁克旗下企业安全业务。107亿的卖身费,让赛门铁克这个老牌安全公司被送上了热议。

    FB客服
  • Google I/O大会,炫酷产品汇总

    北京时间5月19日凌晨,一年一度的谷歌 I/O大会正式拉开帷幕,带领观众及开发者共同瞻望即将到来的工具及技术。 Daydream VR ? 基于Daydrea...

    CSDN技术头条
  • 深入理解HTTPS及在iOS系统中适配HTTPS类型网络请求(上)

        本篇博客主要讨论如何在客户端与服务端之间进行HTTPS网络传输,为了深入理解网络传输的基础原理,更加灵活的校验证书,博客的前半部分也将介绍一些HTTPS...

    珲少
  • RabbitMQ入门-初识RabbitMQ

    初识RabbitMQ 要说RabbitMQ,我们不得不先说下AMQP。AMQP,即Advanced Message Queuing Protocol,高级消息队...

    JackieZheng
  • Quora热议:谷歌机器人验证只是点个勾,为什么机器人就是做不到?

    如果你用过Google的一些服务,在提交请求和确认信息时一定遇到过验证页面。一般来讲,Google旗下服务的验证页面使用ReCapcha,就是让你在指定的框框里...

    新智元
  • 非对称加密与安全证书看这一篇就懂了

    前几日做支付对接时,被对方文档中的加密方式搞晕乎了一会。意识到证书加密方面的理解不够深入,事后查阅参考资料补习一波。本文是根据期间的学习,以及长期以来的实践做出...

    用户1263954
  • 深度剖析RabbitMQ可靠性消息投递以及实践方案

    一般而言,如果你选择RabbitMQ,那肯定就是把可靠性放在第一位。毕竟,RabbitMQ可是金融行业消息队列的标配。如果把性能放在第一位,那毫无疑问,必须是K...

    程序猿DD
  • 浅谈Openssl与私有CA搭建

    随着网络技术的发展、internet的全球化,信息共享程度被进一步提高,各种基于互联网的应用如电子政务、电子商务日益增多并愈加被人们工作和生活依赖。但是,由于...

    小小科

扫码关注云+社区

领取腾讯云代金券