【51CTO.com 9月13日外電頭條】數(shù)字證書已變得使用太不方便，因而不值得信任？

數(shù)字證書對(duì)于互聯(lián)網(wǎng)上所用的SSL安全模型來說極其重要，它可以確保用戶與他們?cè)L問的網(wǎng)站之間有一條安全、加密的直接連接。但是如果攻擊者闖入了認(rèn)證機(jī)構(gòu)，為合法網(wǎng)站頒發(fā)虛假證書，那一切努力都付之東流了，尤其是說到竊聽。

[[43377]]

比如今年7月初，以欺詐手段獲得的數(shù)字證書（由荷蘭認(rèn)證機(jī)構(gòu)DigiNotar頒發(fā)）被用來針對(duì)Gmail用戶發(fā)動(dòng)中間人攻擊。攻擊者鉆空子得逞后，得以讀取廣大受害者的電子郵件。

英國電信集團(tuán)（BT）的首席安全技術(shù)官Bruce Schneier在博文中說："這起攻擊表明了SSL存在的許多安全問題當(dāng)中的一個(gè)：單一信任點(diǎn)實(shí)在太多了。"換句話說，只要破壞了這些信任點(diǎn)中的任何一個(gè)，安全也就蕩然無存。

以DigiNotar案為例，直到這起事件鬧得相當(dāng)大了，這家荷蘭的認(rèn)證機(jī)構(gòu)（CA）才發(fā)現(xiàn)其安全漏洞，更不用說承認(rèn)了。Sophos加拿大公司的高級(jí)安全顧問Chester Wisniewski在博文中表示，荷蘭政府事后委托第三方機(jī)構(gòu)，對(duì)這起事件進(jìn)行了調(diào)查。據(jù)調(diào)查的初步結(jié)果顯示，DigiNotar的信息安全工作做得很差勁，包括沒有集中式日志，沒有集中管理關(guān)鍵部件，使用過時(shí)、沒有打補(bǔ)丁的軟件，以及管理員密碼通過蠻力攻擊就很容易被破解。他說，此外，"所有的證書服務(wù)器都屬于一個(gè)Windows域，那樣只要闖入一個(gè)管理員帳戶，就能控制一切。"

根據(jù)那些發(fā)現(xiàn)的結(jié)果，荷蘭政府接管了原先歸總部設(shè)在芝加哥的Vasco所有的DigiNotar。荷蘭檢察官表示，他們?cè)谠u(píng)估要不要以刑事過失的罪名起訴DigiNotar的工作人員。

值得關(guān)注的是，據(jù)Vasco上周發(fā)布的一份聲明顯示，那個(gè)破壞性的漏洞歸因于2011年上半年收入將近141000美元的這家認(rèn)證機(jī)構(gòu)被人鉆了空子。而之前，谷歌、微軟和Mozilla等廠商曾要求針對(duì)該漏洞編寫補(bǔ)丁程序。該聲明還承諾，DigiNotar"預(yù)計(jì)會(huì)在本周底之前為其所有客戶拿出解決方案"，并"預(yù)計(jì)這起事件引起的損失會(huì)降至最低。"

不過在隨后寫給投資者的一封未注明日期的善后信中，Vasco改變了調(diào)調(diào)；聲稱盡管該公司在2011年1月收購了DigiNotar，并計(jì)劃在2012年之前將DigiNoatar的產(chǎn)品完全集成到自己的產(chǎn)品中，但Vasco自己的產(chǎn)品仍然"100%不用DigiNotar的證書。"

換句話說，DigiNotar似乎注定沒戲了。近日，Mozilla發(fā)布了前所未有的一則聲明，表示會(huì)永久性阻止每一個(gè)DigiNotar證書。Firefox工程主管Jonathan Nightingale在博文中說："在今年早些時(shí)候的一起事件中，我們與數(shù)字認(rèn)證機(jī)構(gòu)Comodo一起阻止了一套被誤頒發(fā)的證書；Comodo及時(shí)發(fā)現(xiàn)了這些證書，采取了遏制措施，并且立即向我們報(bào)告。相比之下，在DigiNotar案中，我們不能肯定問題已得到了遏制。此外，他們沒有通知我們，因而我們對(duì)于自己能否保護(hù)用戶、避免將來的此類泄密事件深表擔(dān)憂。"谷歌和微軟同樣已開始永久阻止DigiNotar的證書。

DigiNotar受到懲罰，是因?yàn)樗鼪]有迅速如實(shí)說來。Nightingale說："秘密地確保SSL體系的完整性是不可能的。諸如此類的事件表明了認(rèn)證機(jī)構(gòu)與軟件開發(fā)商之間需要積極的、迅即的而全面的聯(lián)系與溝通，那樣才能讓我們的共同用戶在網(wǎng)上安全。"

但是DigiNotar遭攻擊表明了要破壞SSL是何等容易，也表明了引起的嚴(yán)重后果，哪怕有明確的溝通渠道。這會(huì)不會(huì)導(dǎo)致對(duì)認(rèn)證機(jī)構(gòu)進(jìn)行改革或進(jìn)行監(jiān)管？印第安納大學(xué)應(yīng)用網(wǎng)絡(luò)安全研究中心的研究員Christopher Soghoian近日通過推特表示："鑒于有人（可能來自伊朗）為美國中情局網(wǎng)站（CIA.gov）獲得了合法的HTTPS證書，我在想美國政府會(huì)不會(huì)注意這種混亂的局面。"

近日，卡巴斯基實(shí)驗(yàn)室的高級(jí)反病毒研究人員Roel Schouwenberg在博文中表示，DigiNotar遭攻擊所帶來的政治影響將不亞于Stuxnet，"將使網(wǎng)絡(luò)戰(zhàn)爭放到西方國家政府的政治議程的首要或重要位置。"此外，他認(rèn)為DigiNotar并不是一起孤立的事件。"由于全球有大約500家認(rèn)證機(jī)構(gòu)，很難相信DigiNotar是外頭唯一受到危及的認(rèn)證機(jī)構(gòu)。"

Schouwenberg的預(yù)測(cè)很正確。近日，一名攻擊者聲稱對(duì)DigiNotar遭攻擊事件負(fù)責(zé)，他所用的"Comodo黑客"Pastebin帳戶正是今年早些時(shí)候用來鉆Comodo認(rèn)證機(jī)構(gòu)空子的那個(gè)帳戶。

盡管DigiNotar漏洞已被發(fā)現(xiàn)，但那位Comodo黑客聲稱控制了更多的認(rèn)證機(jī)構(gòu)。據(jù)Pastebin上的帖子聲稱："我訪問了另外4家非常知名的認(rèn)證機(jī)構(gòu)，我可以通過它們來頒發(fā)證書，但我不想說出它們是誰。"Comodo黑客還聲稱訪問了StartCom認(rèn)證機(jī)構(gòu)，但是被硬件安全模塊阻止了。此外，該攻擊者聲稱最近成功訪問了數(shù)字認(rèn)證機(jī)構(gòu)GlobalSign，承諾很快會(huì)演示過程。

遺憾的是，SSL方面似乎缺少應(yīng)急解決辦法。Sophos的Wisniewski說："這起事件切實(shí)表明了如今在網(wǎng)上所用的SSL/TLS證書信任模型是何等脆弱。我希望替代技術(shù)會(huì)迅速采用起來，比如專門研究隱私、匿名和計(jì)算機(jī)安全的實(shí)驗(yàn)室研究員Moxie Marlinspike提出的Convergence，從而讓我們對(duì)于網(wǎng)絡(luò)通信的安全性更放心。"

Convergence是Marlinspike提出來的一種方案，它采用了眾包（crowdsourcing）的方式來驗(yàn)證證書，即比較全球各地訪問某個(gè)特定網(wǎng)站的廣大用戶收到的證書，從而幫助確定這些證書是否合法。但是這個(gè)方法比較新，到目前為止只是用作Firefox插件。不過它也許向前邁出了一步，將來需要對(duì)認(rèn)證機(jī)構(gòu)的信息安全和商業(yè)做法進(jìn)行重大改革。

原文鏈接：http://www.informationweek.com/news/security/vulnerabilities/231600829

【51CTO.com獨(dú)家譯稿，非經(jīng)授權(quán)謝絕轉(zhuǎn)載！合作媒體轉(zhuǎn)載請(qǐng)注明原文出處及出處！】