Resumen:
La semana pasada, la cuestión de la clave privada del certificado eMudhra de la empresa india Caotai atrajo la atención de toda la industria. Los ocho certificados de CA intermedios emitidos por la empresa utilizaban claves débiles. Entre ellos, la clave privada del certificado EM OV TLS CA-G3C se exageró a solo el número 4, por lo que cualquiera puede usar este certificado directamente para emitir subcertificados para otros nombres de dominio.
Sin embargo, estos certificados problemáticos han sido revocados por navegadores y sistemas operativos. Sin embargo, es posible que algunos dispositivos no verifiquen la lista de revocación de certificados o no puedan obtener actualizaciones. El certificado revocado sigue siendo confiable y el subcertificado utilizado para la emisión aún se puede utilizar.
Así que los entusiastas emitieron 106.000 certificados para nombres de dominio de Google:
Para probar el uso de eMudhra para emitir certificados para cualquier nombre de dominio, el nombre de dominio de primera elección es, por supuesto, Google (al igual que los usuarios domésticos abren Baidu para comprobar si están conectados a Internet), por lo que el actual registro de transparencia de certificados de CT ha registrado que los entusiastas han emitido hasta 106.000 certificados para el nombre de dominio principal de Google, Google.com.
Actualmente, el registro de transparencia de certificados registra 107.000 registros de emisión, el 99% de los cuales utilizan nombres de dominio de Google como objetos de prueba. Estos certificados pueden autenticarse mediante la clave pública de CA, pero debido a que el navegador ha revocado el certificado intermedio, se bloqueará el acceso real (a menos que no se pueda verificar el registro de revocación).
¿Por qué CT puede registrar los certificados emitidos por mí mismo?
Debido a que la emisión de certificados y el registro de registros CT son procesos diferentes, en circunstancias normales la CA utiliza la clave privada de la CA intermedia para emitir el certificado después de verificar el control del nombre de dominio. Alguien con la clave privada filtrada puede crear un certificado localmente, escribir cualquier nombre de dominio en el campo de nombre DNS y luego usar la clave privada para firmar.
RFC 9162 estipula que cualquiera puede enviar un certificado al registro CT y adjuntar la cadena de certificados para la inspección del registro. El registro CT es responsable de registrar y publicar el certificado para una revisión externa del estado de emisión de la CA, y no es responsable de revisar los derechos de control de nombres de dominio de la CA. Por lo tanto, se puede verificar a los entusiastas si lo envían al registro CT al emitir certificados.
Comentarios