【51CTO.com 9月13日外電頭條】數(shù)字證書(shū)已變得使用太不方便，因而不值得信任？

數(shù)字證書(shū)對(duì)于互聯(lián)網(wǎng)上所用的SSL安全模型來(lái)說(shuō)極其重要，它可以確保用戶(hù)與他們?cè)L問(wèn)的網(wǎng)站之間有一條安全、加密的直接連接。但是如果攻擊者闖入了認(rèn)證機(jī)構(gòu)，為合法網(wǎng)站頒發(fā)虛假證書(shū)，那一切努力都付之東流了，尤其是說(shuō)到竊聽(tīng)。

[[43377]]

比如今年7月初，以欺詐手段獲得的數(shù)字證書(shū)（由荷蘭認(rèn)證機(jī)構(gòu)DigiNotar頒發(fā)）被用來(lái)針對(duì)Gmail用戶(hù)發(fā)動(dòng)中間人攻擊。攻擊者鉆空子得逞后，得以讀取廣大受害者的電子郵件。

英國(guó)電信集團(tuán)（BT）的首席安全技術(shù)官Bruce Schneier在博文中說(shuō)："這起攻擊表明了SSL存在的許多安全問(wèn)題當(dāng)中的一個(gè)：?jiǎn)我恍湃吸c(diǎn)實(shí)在太多了。"換句話(huà)說(shuō)，只要破壞了這些信任點(diǎn)中的任何一個(gè)，安全也就蕩然無(wú)存。

以DigiNotar案為例，直到這起事件鬧得相當(dāng)大了，這家荷蘭的認(rèn)證機(jī)構(gòu)（CA）才發(fā)現(xiàn)其安全漏洞，更不用說(shuō)承認(rèn)了。Sophos加拿大公司的高級(jí)安全顧問(wèn)Chester Wisniewski在博文中表示，荷蘭政府事后委托第三方機(jī)構(gòu)，對(duì)這起事件進(jìn)行了調(diào)查。據(jù)調(diào)查的初步結(jié)果顯示，DigiNotar的信息安全工作做得很差勁，包括沒(méi)有集中式日志，沒(méi)有集中管理關(guān)鍵部件，使用過(guò)時(shí)、沒(méi)有打補(bǔ)丁的軟件，以及管理員密碼通過(guò)蠻力攻擊就很容易被破解。他說(shuō)，此外，"所有的證書(shū)服務(wù)器都屬于一個(gè)Windows域，那樣只要闖入一個(gè)管理員帳戶(hù)，就能控制一切。"

根據(jù)那些發(fā)現(xiàn)的結(jié)果，荷蘭政府接管了原先歸總部設(shè)在芝加哥的Vasco所有的DigiNotar。荷蘭檢察官表示，他們?cè)谠u(píng)估要不要以刑事過(guò)失的罪名起訴DigiNotar的工作人員。

值得關(guān)注的是，據(jù)Vasco上周發(fā)布的一份聲明顯示，那個(gè)破壞性的漏洞歸因于2011年上半年收入將近141000美元的這家認(rèn)證機(jī)構(gòu)被人鉆了空子。而之前，谷歌、微軟和Mozilla等廠商曾要求針對(duì)該漏洞編寫(xiě)補(bǔ)丁程序。該聲明還承諾，DigiNotar"預(yù)計(jì)會(huì)在本周底之前為其所有客戶(hù)拿出解決方案"，并"預(yù)計(jì)這起事件引起的損失會(huì)降至最低。"

不過(guò)在隨后寫(xiě)給投資者的一封未注明日期的善后信中，Vasco改變了調(diào)調(diào)；聲稱(chēng)盡管該公司在2011年1月收購(gòu)了DigiNotar，并計(jì)劃在2012年之前將DigiNoatar的產(chǎn)品完全集成到自己的產(chǎn)品中，但Vasco自己的產(chǎn)品仍然"100%不用DigiNotar的證書(shū)。"

換句話(huà)說(shuō)，DigiNotar似乎注定沒(méi)戲了。近日，Mozilla發(fā)布了前所未有的一則聲明，表示會(huì)永久性阻止每一個(gè)DigiNotar證書(shū)。Firefox工程主管Jonathan Nightingale在博文中說(shuō)："在今年早些時(shí)候的一起事件中，我們與數(shù)字認(rèn)證機(jī)構(gòu)Comodo一起阻止了一套被誤頒發(fā)的證書(shū)；Comodo及時(shí)發(fā)現(xiàn)了這些證書(shū)，采取了遏制措施，并且立即向我們報(bào)告。相比之下，在DigiNotar案中，我們不能肯定問(wèn)題已得到了遏制。此外，他們沒(méi)有通知我們，因而我們對(duì)于自己能否保護(hù)用戶(hù)、避免將來(lái)的此類(lèi)泄密事件深表?yè)?dān)憂(yōu)。"谷歌和微軟同樣已開(kāi)始永久阻止DigiNotar的證書(shū)。

DigiNotar受到懲罰，是因?yàn)樗鼪](méi)有迅速如實(shí)說(shuō)來(lái)。Nightingale說(shuō)："秘密地確保SSL體系的完整性是不可能的。諸如此類(lèi)的事件表明了認(rèn)證機(jī)構(gòu)與軟件開(kāi)發(fā)商之間需要積極的、迅即的而全面的聯(lián)系與溝通，那樣才能讓我們的共同用戶(hù)在網(wǎng)上安全。"

但是DigiNotar遭攻擊表明了要破壞SSL是何等容易，也表明了引起的嚴(yán)重后果，哪怕有明確的溝通渠道。這會(huì)不會(huì)導(dǎo)致對(duì)認(rèn)證機(jī)構(gòu)進(jìn)行改革或進(jìn)行監(jiān)管？印第安納大學(xué)應(yīng)用網(wǎng)絡(luò)安全研究中心的研究員Christopher Soghoian近日通過(guò)推特表示："鑒于有人（可能來(lái)自伊朗）為美國(guó)中情局網(wǎng)站（CIA.gov）獲得了合法的HTTPS證書(shū)，我在想美國(guó)政府會(huì)不會(huì)注意這種混亂的局面。"

近日，卡巴斯基實(shí)驗(yàn)室的高級(jí)反病毒研究人員Roel Schouwenberg在博文中表示，DigiNotar遭攻擊所帶來(lái)的政治影響將不亞于Stuxnet，"將使網(wǎng)絡(luò)戰(zhàn)爭(zhēng)放到西方國(guó)家政府的政治議程的首要或重要位置。"此外，他認(rèn)為DigiNotar并不是一起孤立的事件。"由于全球有大約500家認(rèn)證機(jī)構(gòu)，很難相信DigiNotar是外頭唯一受到危及的認(rèn)證機(jī)構(gòu)。"

Schouwenberg的預(yù)測(cè)很正確。近日，一名攻擊者聲稱(chēng)對(duì)DigiNotar遭攻擊事件負(fù)責(zé)，他所用的"Comodo黑客"Pastebin帳戶(hù)正是今年早些時(shí)候用來(lái)鉆Comodo認(rèn)證機(jī)構(gòu)空子的那個(gè)帳戶(hù)。

盡管DigiNotar漏洞已被發(fā)現(xiàn)，但那位Comodo黑客聲稱(chēng)控制了更多的認(rèn)證機(jī)構(gòu)。據(jù)Pastebin上的帖子聲稱(chēng)："我訪(fǎng)問(wèn)了另外4家非常知名的認(rèn)證機(jī)構(gòu)，我可以通過(guò)它們來(lái)頒發(fā)證書(shū)，但我不想說(shuō)出它們是誰(shuí)。"Comodo黑客還聲稱(chēng)訪(fǎng)問(wèn)了StartCom認(rèn)證機(jī)構(gòu)，但是被硬件安全模塊阻止了。此外，該攻擊者聲稱(chēng)最近成功訪(fǎng)問(wèn)了數(shù)字認(rèn)證機(jī)構(gòu)GlobalSign，承諾很快會(huì)演示過(guò)程。

遺憾的是，SSL方面似乎缺少應(yīng)急解決辦法。Sophos的Wisniewski說(shuō)："這起事件切實(shí)表明了如今在網(wǎng)上所用的SSL/TLS證書(shū)信任模型是何等脆弱。我希望替代技術(shù)會(huì)迅速采用起來(lái)，比如專(zhuān)門(mén)研究隱私、匿名和計(jì)算機(jī)安全的實(shí)驗(yàn)室研究員Moxie Marlinspike提出的Convergence，從而讓我們對(duì)于網(wǎng)絡(luò)通信的安全性更放心。"

Convergence是Marlinspike提出來(lái)的一種方案，它采用了眾包（crowdsourcing）的方式來(lái)驗(yàn)證證書(shū)，即比較全球各地訪(fǎng)問(wèn)某個(gè)特定網(wǎng)站的廣大用戶(hù)收到的證書(shū)，從而幫助確定這些證書(shū)是否合法。但是這個(gè)方法比較新，到目前為止只是用作Firefox插件。不過(guò)它也許向前邁出了一步，將來(lái)需要對(duì)認(rèn)證機(jī)構(gòu)的信息安全和商業(yè)做法進(jìn)行重大改革。

原文鏈接：http://www.informationweek.com/news/security/vulnerabilities/231600829

【51CTO.com獨(dú)家譯稿，非經(jīng)授權(quán)謝絕轉(zhuǎn)載！合作媒體轉(zhuǎn)載請(qǐng)注明原文出處及出處！】