По-настоящему детективная история развернулась в последние месяцы вокруг компании DarkMatter, которая подала заявку на включение своего центра сертификации в доверенное корневое хранилище сертификатов Mozilla. Дело в том, что это не простая компания, а разработчик «шпионского» программного обеспечения из ОАЭ. Ранее она была замечена в покупке 0day-эксплоитов. В принципе, само по себе это не преступление. Многие компании, в том числе российские, занимаются созданием хакерского инструментария с использованием 0day. Они продают эти программы, например, правоохранительным органам для взлома телефонов (криминалистическая экспертиза) или скрытой установки троянов (оперативное наблюдение). Но общепринятые правила таковы, что хакерские фирмы сотрудничают только с демократическими правительствами, то есть стоят «на стороне добра».
Страсти накалились в феврале 2019 года, когда вышло расследование Reuters, что DarkMatter продавала софт репрессивным режимам на Ближнем Востоке.
Mozilla мгновенно оказалась под давлением.
Доверенное корневое хранилище сертификатов Mozilla используется в том числе некоторыми дистрибутивами Linux. Многие боялись, что попав в Mozilla Root Store, компания DarkMatter начнёт выдавать TLS-сертификаты, которые могут использоваться для перехвата интернет-трафика пользователей. Такие случаи уже были в странах с репрессивными режимами, хотя DarkMatter заявляет, что никогда не участвовала в подобных операциях. Хотя сейчас проблема могла затронуть только определённые Linux-системы, но именно Linux работает на серверах облачных провайдеров и разворачивается в дата-центрах. В обсуждении ситуации на Google Groups представители DarkMatter заверяли, что никогда не собираются делать ничего подобного.
В то же время сертификаты DarkMatter подверглись пристальному рассмотрению. И быстро обнаружилась странность: для последовательных номеров сертификатов использовались случайные числа из 63-битного пространства вместо 64-битного, как положено по спецификации. Это нарушает требования CA/B Forum по минимальной энтропии (64 бита). Таким образом, у Mozilla появились формальные основания отказать «шпионам» во включении в доверенное хранилище сертификатов.
Однако выяснилось, что подобное нарушение допустила не только DarkMatter, но с десяток удостоверяющих центров, в том числе GoDaddy, Apple и Google. Причина в том, что все пострадавшие УЦ использовали популярное open source PKI-решение EJBCA с неправильными настройками.
Начался массовый отзыв от ведущих центров. Процедура заняла длительное время (до 30 дней) из-за огромного количества сертификатов. Им пришлось нарушить RFC5280, который обязывает отзывать некорректные сертификаты в пятидневный срок. В итоге, по некоторым оценкам, было отозвано несколько миллионов штук.
Вот так шпионская фирма DarkMatter сделала хорошее дело: помогла обнаружить серьёзную криптографическую уязвимость. Но сама оказалась пострадавшей. На самом деле обвинения в расследовании Reuters не имеют под собой серьёзных оснований: возможно, это просто домыслы журналиста. Однако её заявку на включение в доверенное корневое хранилище Mozilla уже отклонили, чем представители фирмы искренне возмущены. И некоторые с ними согласны.
«Странная ситуация. С одной стороны, отказ в заявке DarkMatter на основании этих статей в прессе создаст прецедент отказа в очевидной добросовестности члена индустрии на основании только слухов и без доказательств, — пишет известный специалист по безопасности Надим Кобейсси. — С другой стороны, решив действовать добросовестно, прозрачно и на фактических доказательствах, мы в реальности рискуем долгосрочно подорвать доверие общественности к процессу включения УЦ.
Мне действительно кажется, что оба решения нанесут ущерб. В первом случае это будет выглядеть дискриминационным (и даже немного ксенофобным)… а во втором возникнет серьёзное облако неопределённости над безопасностью корневого каталога УЦ в целом. И я даже не знаю, как кто-то может хотя бы когда-нибудь рассеять его.
Как сторонний наблюдатель, я искренне не знаю, что делать Mozilla в данный момент…
На самом деле хотелось бы, чтобы против DarkMatter были опубликованы серьёзные доказательства выдвинутых обвинений (если он существуют). Они помогли бы Mozilla занять прочную оборонительную позицию».
К сожалению, не доступен сервер mySQL