數(shù)字證書已變得使用太不方便，因而不值得信任？
數(shù)字證書對于互聯(lián)網(wǎng)上所用的SSL安全模型來說極其重要，它可以確保用戶與他們訪問的網(wǎng)站之間有一條安全、加密的直接連接。但是如果攻擊者闖入了認(rèn)證機構(gòu)，為合法網(wǎng)站頒發(fā)虛假證書，那一切努力都付之東流了，尤其是說到竊聽。
比如今年7月初，以欺詐手段獲得的數(shù)字證書（由荷蘭認(rèn)證機構(gòu)DigiNotar頒發(fā)）被用來針對Gmail用戶發(fā)動中間人攻擊。攻擊者鉆空子得逞后，得以讀取廣大受害者的電子郵件。
英國電信集團(tuán)（BT）的首席安全技術(shù)官Bruce Schneier在博文中說："這起攻擊表明了SSL存在的許多安全問題當(dāng)中的一個：單一信任點實在太多了。"換句話說，只要破壞了這些信任點中的任何一個，安全也就蕩然無存。
以DigiNotar案為例，直到這起事件鬧得相當(dāng)大了，這家荷蘭的認(rèn)證機構(gòu)（CA）才發(fā)現(xiàn)其安全漏洞，更不用說承認(rèn)了。Sophos加拿大公司的高級安全顧問Chester Wisniewski在博文中表示，荷蘭政府事后委托第三方機構(gòu)，對這起事件進(jìn)行了調(diào)查。據(jù)調(diào)查的初步結(jié)果顯示，DigiNotar的信息安全工作做得很差勁，包括沒有集中式日志，沒有集中管理關(guān)鍵部件，使用過時、沒有打補丁的軟件，以及管理員密碼通過蠻力攻擊就很容易被破解。他說，此外，"所有的證書服務(wù)器都屬于一個Windows域，那樣只要闖入一個管理員帳戶，就能控制一切。"
根據(jù)那些發(fā)現(xiàn)的結(jié)果，荷蘭政府接管了原先歸總部設(shè)在芝加哥的Vasco所有的DigiNotar.荷蘭檢察官表示，他們在評估要不要以刑事過失的罪名起訴DigiNotar的工作人員。
值得關(guān)注的是，據(jù)Vasco上周發(fā)布的一份聲明顯示，那個破壞性的漏洞歸因于2011年上半年收入將近141000美元的這家認(rèn)證機構(gòu)被人鉆了空子。而之前，谷歌、微軟和Mozilla等廠商曾要求針對該漏洞編寫補丁程序。該聲明還承諾，DigiNotar"預(yù)計會在本周底之前為其所有客戶拿出解決方案",并"預(yù)計這起事件引起的損失會降至最低。"
不過在隨后寫給投資者的一封未注明日期的善后信中，Vasco改變了調(diào)調(diào)；聲稱盡管該公司在2011年1月收購了DigiNotar,并計劃在2012年之前將DigiNoatar的產(chǎn)品完全集成到自己的產(chǎn)品中，但Vasco自己的產(chǎn)品仍然"100%不用DigiNotar的證書。"
換句話說，DigiNotar似乎注定沒戲了。近日，Mozilla發(fā)布了前所未有的一則聲明，表示會永久性阻止每一個DigiNotar證書。Firefox工程主管Jonathan Nightingale在博文中說："在今年早些時候的一起事件中，我們與數(shù)字認(rèn)證機構(gòu)Comodo一起阻止了一套被誤頒發(fā)的證書；Comodo及時發(fā)現(xiàn)了這些證書，采取了遏制措施，并且立即向我們報告。相比之下，在DigiNotar案中，我們不能肯定問題已得到了遏制。此外，他們沒有通知我們，因而我們對于自己能否保護(hù)用戶、避免將來的此類泄密事件深表擔(dān)憂。"谷歌和微軟同樣已開始永久阻止DigiNotar的證書。
DigiNotar受到懲罰，是因為它沒有迅速如實說來。Nightingale說："秘密地確保SSL體系的完整性是不可能的。諸如此類的事件表明了認(rèn)證機構(gòu)與軟件開發(fā)商之間需要積極的、迅即的而全面的聯(lián)系與溝通，那樣才能讓我們的共同用戶在網(wǎng)上安全。"
但是DigiNotar遭攻擊表明了要破壞SSL是何等容易，也表明了引起的嚴(yán)重后果，哪怕有明確的溝通渠道。這會不會導(dǎo)致對認(rèn)證機構(gòu)進(jìn)行改革或進(jìn)行監(jiān)管？印第安納大學(xué)應(yīng)用網(wǎng)絡(luò)安全研究中心的研究員Christopher Soghoian近日通過推特表示："鑒于有人（可能來自伊朗）為美國中情局網(wǎng)站（CIA.gov）獲得了合法的HTTPS證書，我在想美國政府會不會注意這種混亂的局面。"
近日，卡巴斯基實驗室的高級反病毒研究人員Roel Schouwenberg在博文中表示，DigiNotar遭攻擊所帶來的政治影響將不亞于Stuxnet,"將使網(wǎng)絡(luò)戰(zhàn)爭放到西方國家政府的政治議程的首要或重要位置。"此外，他認(rèn)為DigiNotar并不是一起孤立的事件。"由于全球有大約500家認(rèn)證機構(gòu)，很難相信DigiNotar是外頭唯一受到危及的認(rèn)證機構(gòu)。"
Schouwenberg的預(yù)測很正確。近日，一名攻擊者聲稱對DigiNotar遭攻擊事件負(fù)責(zé)，他所用的"Comodo黑客"Pastebin帳戶正是今年早些時候用來鉆Comodo認(rèn)證機構(gòu)空子的那個帳戶。
盡管DigiNotar漏洞已被發(fā)現(xiàn)，但那位Comodo黑客聲稱控制了更多的認(rèn)證機構(gòu)。據(jù)Pastebin上的帖子聲稱："我訪問了另外4家非常知名的認(rèn)證機構(gòu)，我可以通過它們來頒發(fā)證書，但我不想說出它們是誰。"Comodo黑客還聲稱訪問了StartCom認(rèn)證機構(gòu)，但是被硬件安全模塊阻止了。此外，該攻擊者聲稱最近成功訪問了數(shù)字認(rèn)證機構(gòu)GlobalSign,承諾很快會演示過程。
遺憾的是，SSL方面似乎缺少應(yīng)急解決辦法。Sophos的Wisniewski說："這起事件切實表明了如今在網(wǎng)上所用的SSL/TLS證書信任模型是何等脆弱。我希望替代技術(shù)會迅速采用起來，比如專門研究隱私、匿名和計算機安全的實驗室研究員Moxie Marlinspike提出的Convergence,從而讓我們對于網(wǎng)絡(luò)通信的安全性更放心。"
Convergence是Marlinspike提出來的一種方案，它采用了眾包（crowdsourcing）的方式來驗證證書，即比較全球各地訪問某個特定網(wǎng)站的廣大用戶收到的證書，從而幫助確定這些證書是否合法。但是這個方法比較新，到目前為止只是用作Firefox插件。不過它也許向前邁出了一步，將來需要對認(rèn)證機構(gòu)的信息安全和商業(yè)做法進(jìn)行重大改革。
京公網(wǎng)安備 11010502049343號