Trustico 故意攻陷2.3万名用户的 SSL 证书并承认存储私钥
翻译：360代码卫士团队
昨晚，SSL 证书的经销商 Trustico 发布声明称，该公司存储了某些在过去发布的 SSL 证书的私钥。
DigiCert 和多名安全研究人员在此前的公告中指出，Trustico 公司可能存储了所经销的 SSL 证书的私钥，从而违反了行业标准和客户与证书颁发机构之间的信任关系。
只有客户（网站所有人）应该具有访问 SSL 证书私钥的权限。因为获得该私钥的任何人均能够模拟站点的 HTTPS 连接或解密该网站的日志或实时流量。
目前尚未有证据表明，Trustico 公司曾滥用这些私钥。人们普遍认为 Trustico 通过在网站上提供的一款SSL 证书颁发进程自动化工具记录了这些密钥。
Trustico 发布的这份声明是和 DigiCert 公司产生分歧的一部分内容。
Trustico 想把所有客户从即将不受信任的赛门铁克证书迁移到 Comodo 证书，因此它请求当前负责赛门铁克老旧 SSL 证书的 DigiCert 批量撤销50,000个证书。DigiCert 以只有终端客户而非经销商能触发撤销为由拒绝该请求。
DigiCert 表示，Trustico 能在未经用户同意的情况下，批量撤销如此多证书的唯一方法是证书遭攻陷。Trustico 公司随后通过邮件将超过2.3万名用户的私钥发送给 DigiCert，这实际上是攻陷了这些证书的安全和隐私，从而导致这些用户的证书被批量撤销。
但 Trustico 公司的这一举措让证书颁发社区大为震惊，引发群愤。
信息安全顾问兼证书颁发领域的专家 Scott Helme 指出，将Trustico 公司的这种行为归类于“重大过失”也是低估了其所犯的错误。他表示，“生成、存储以及表现出的随意攻陷密钥的行为都极为不当。他们本可以不必邮件发送大小为24k+的密钥压缩包来证明私钥的所有权问题。如果这一举措是受商业/政治利益驱动，那么如果他们因此而被撤销经销商资格那将是莫大的讽刺。”
DigiCert 在 Mozilla 安全邮件列表中说明了这次撤销事件。该安全邮件列表常用于讨论 CA/Browser Forum 的事情。组织机构CA/Browser Forum 设立并强制执行 SSL/HTTPS 行业的规则。这个邮件列表中的成员此前一直担心 Trustico 访问密钥。
美国总务管理局技术转换服务处的资深顾问 Eric Mill 表示，Trustico 并未提供使用密钥的任何托管或 CDN 服务，也未明确通知用户密钥存储事宜，暗指 Trustico 并无保留这些密钥的明显原因。
他表示，“存储私钥看似是在未经用户知悉或同意的情况下发生的。鉴于已知事宜，不论是谁、在何时以及为何邮件发送谁的用户密钥，我认为显然 Trustico 公司攻陷了这些密钥，而且多年来一直在攻陷用户密钥。鉴于尚未有证据表明 Trustico 有任何改变自身业务实践的打算，我认为所有证书颁发机构立即暂停或终止和 Trustico 公司的关系是适当的。”
Mill 还详细介绍了 Trustico 公司是如何攻陷了所有客户的密钥：
他们在声明中表示，一直明确持有私钥以执行必要的撤销行为：https://www.trustico.com/news/2018/symantec-revocation/certificate-replacement.php(归档: https://archive.is/0AnyR)
出于撤销目的，这些私钥的存储方式是冷库存储。
他们的 CSR/密钥生成表单位于：https://www.trustico.com/ssltools/create/csr-pem/create-a-new-csr-instantly.php
(归档: https://archive.is/hJV42)
显然密钥存储并未知悉用户或获得他们的同意。当然，他们仅存储了通过自己的表单生成的密钥，因此显然这并非是他们证书业务的必要业务功能。
最后，CSR/密钥生成表单页面集成了来自5个或6个不同企业（包括广告服务器）的 JavaScript，这将允许其中的任意第三方（故意或通过攻陷自己的证书）捕获生成密钥。这是一种不计后果的暴露方式，即使密钥完全是在浏览器中生成的也从未暴露给服务器（显然事实并非如此），我认为在生成的那一刻开始，密钥即遭攻陷。
安全研究员 Kevin Beaumont 查找受攻陷证书的列表发现其中一些证书由安全性要求非常高的组织机构在使用。
Beaumont 表示，仅通过查看被撤销的2.3万个证书中的10个，就发现其中一些 SSL 证书的私钥用于确保银行邮件服务器的安全。
由于赛门铁克存在的安全问题，Trustico 被赋予将经销合作伙伴从 DigiCert 更改为 Comodo 的合同权利。安全社区的主要担忧在于这一过程将如何实施。
发送私钥并导致数千名客户重新配置站点的行为可能已经造成业务损失，或许这并非一种好想法。
关联阅读
原文链接
https://www.bleepingcomputer.com/news/security/trustico-states-they-stored-private-keys-for-customers-ssl-certificates/
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。