Как российские банки плевать хотели на инф. безопасностьМой коллега и дорогой БРАТ Артём провёл «маленький рисерч» (С) в отношении российских банков. Как известно, недавно Google и Mozilla признали сертификаты Symantec скомпрометированными и выпущенными, с нарушениями правил безопасности. Вот почему:
1) В Symantec ну просто так,
ради теста, выпустили сертификат для google.comgoogle.com, который потом (oops!) утёк. Для тех, кто в танке — сертификат позволил бы злоумышленникам незаметно подменять оригинальный сайт Google любой другой страницей и, при этом, тот самый замочек HTTPS продолжал бы оставаться «зелёненьким».
2) Выпускали сертификаты с SHA-1, после января 2016 года, когда
это стало запрещено правилами безопасности. 3) Symantec выпустили кучу сертификатов
ВООБЩЕ НЕ ПРОВЕРЯЯ ВЛАДЕНИЕ ДОМЕНОМ. С-О-В-С-Е-М. Ну и ещё совершили много-много страшных (если не считать того факта, что CEO Trustico приватные ключи по E-Mail’у пересылал) смертельных грехов, описанных здесь:
https://wiki.mozilla.org/CA:Symantec_Issues#Issue_D:_Test_Certificate_Misissuance_.28April_2009_-_September_2015.29Ну и, что вполне логично, Google и Mozilla объявили сертификаты Symantec небезопасными и де-факто скомпрометированными. Вот уже через 3 недели сайты с такими сертификатами перестанут открываться у пользователей Chrome и Firefox.
Все нормальные интернет-ресурсы уже подготовились к этому.
Но есть и особо одаренные. Например, Сбербанк. На справедливое замечание Артёма они предложили ему не пользоваться гуглом:
https://twitter.com/sberbank/status/1031907764858249217Мы поползали по сайтам различных российских банков и обнаружили, что отличившихся много!
Вот некоторые из них:
https://online.sberbank.ruhttps://www.rshb.ruhttps://www.open.ruhttps://enter.unicredit.ruНу и, как бы, не шевелятся.
Артём, конечно, выполнил свой святой долг и всем им написал. Молодец, Артём. И вы будьте молодцом и поменяйте сертификат, если он попадает под эту ситуацию.
Продолжение следует.