Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Bardzo dużo serwisów straciło nagle Extended Validation certyfikatu SSL – w nowym Chrome
TL;DR: wejdźcie np. na stronę Symanteca lub Bank of America w najnowszym Chrome (wersja: 57.0.2987.110 na Windows). Widzicie Extended Validation? Bo my nie… To tylko przykładowe dwa serwisy, a podobne działanie Chrome można zauważyć na wielu, wielu innych stronach.
Czy jest powód do paniki? Naszym zdaniem – zdecydowanie nie. Ale warto śledzić rozwój sytuacji.
Symantec – brak EV
Dla pewności – w Firefoksie wszystko jest OK:
EV
Takie zachowanie Chrome można zauważyć na wielu polskich stronach, a wątek wskazujący na potencjalne problemy można znaleźć w notce od Google, którą relacjonowaliśmy tutaj:
Q: More specifically, why does Firefox still display the EV chip on BoA, and Symantec, while Chrome stopped displaying the chip almost immediately after I read this post when it was first shared.
A: This is a separate bug related to how Symantec encodes its EV status in a certificate and how Chrome recognizes that EV status. See and star https://bugs.chromium.org/p/chromium/issues/detail?id=705285 for further details.
Przypadek, nie przypadek? (dla jasności – odpowiedź sugeruje, że jest to osobny problem niż propozycje wyciągnięcia konsekwencji dla Symanteca w przeglądarce Chrome; trochę dziwi tylko niemal idealne zgranie terminów dwóch problemów…).
Dla pewności – widzimy też kilka miejsc, gdzie tego typu problem jest z certyfikatem podpisanym przez zupełnie inny CA niż Symanteca…
–ms
Jakie to inne miejsca?
No i lata uświadamiania idą się…..
Co powiedzieć klientom którzy się zaniepokoją?
Spoko wszystko gra to tylko awaria?
Problemy z certyfikatami wcale nie są rzadkie i coraz więcej osób przestaje zwracać na to uwagę zakładając ze spokojnie to tylko awaria.
Heh, już jakiś czas temu chromiumpodobne przeniosły opcje kłódeczki do zakładki „narzędzi dla programistów” – ile osób tam zajrzy? Skoro wylistowanie uprawnień danej witryny jest ważniejsze od opcji bezpieczeństwa, to co poradzisz.
Czyli gdy ktoś używa Egde to „jest bezpieczny” ? ;-)
Swoją drogą przecież Chrome korzysta z windows’owego cert-store czyli chodzi tu o to że po prostu „nadpisuje” (wizualnie – w sferze prezentacji na pasku) stan certyfikatu?
Nie.
A na które pytanie to odpowiedź?
Może jest późno… ale widzę zajawkę, a nie widzę wyjaśnienia co tak naprawdę się stało…. Sekuraku nie podążaj tą drogą ;-)
A EV jak nie było tak nie ma… poza tym w miarę dokładnie wskazujemy na prawdopodobne źródło problemu.