Car-tech

Google finder uautoriseret certifikat for google.com-domænet

Field Level Security in Dynamics 365 CRM or Field Security Profile in MS D365 CRM | Dynamix academy

Field Level Security in Dynamics 365 CRM or Field Security Profile in MS D365 CRM | Dynamix academy
Anonim

Google har taget skridt til at lukke potentielle sikkerhedshuller, der er oprettet af et svigagtigt certifikat for sit google.com-domæne, opdaget i slutningen af ​​december.

Certifikatet blev fejlagtigt udstedt af en mellemcertifikatmyndighed CA), der linker tilbage til TurkTrust, en tyrkisk CA.

"Intermediate CA-certifikater bærer CA's fulde myndighed, så enhver, der har en, kan bruge den til at oprette et certifikat for enhver hjemmeside, de ønsker at udfolde sig", skrev Adam Langley, en Google-softwareingeniør, i et blogindlæg torsdag.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Google registrerede eksistensen af ​​certifikatet på juleaften, opdaterede sin Chrome-browser den næste dag til at blokere den mellemliggende CA og anmelde TurkTrust og andre browsere om problemet.

TurkTrust gennemførte derefter sin egen undersøgelse og fandt ud af, at den i august 2011 fejlagtigt havde udstedt to mellemliggende CA-certifikater til organisationer, der i stedet skulle have modtaget regelmæssig SSL certifikater, ifølge Langley.

Google opdaterede derefter Chrome igen for at blokere det andet CA-certifikat og igen meddelte andre browsersalgere.

"Vores handlinger løste det umiddelbare problem for vores brugere. I betragtning af sværhedsgraden af ​​situationen vil vi opdatere Chrome igen i januar for ikke længere at angive udvidet valideringsstatus for certifikater udstedt af TurkTrust, selvom forbindelser til TurkTrust-godkendte HTTPS-servere fortsat kan tillades, "skrev Langley.

Google kan tage yderligere skridt i reaktion på dette problem, tilføjede han.

En Google-talsmand sagde via e-mail, at selv om TurkTrust fejlagtigt udstedte to mellemliggende certifikater, blev kun en brugt til at generere et uautoriseret certifikat.

"Vi mener, at der var et tilfælde af att certifikatet bruges internt på virksomhedens netværk, "sagde talsmanden.