谷歌在其安全博客中宣稱，一個中間證書發(fā)行了此偽造證書，并把此證書鏈接到ANSSI.
“中間證書攜帶著所有的CA授權，所以任何人只要得到這樣的一張中間證書就而已用它偽造出任何一張他想要得到的網(wǎng)站證書。”谷歌在博客中這樣寫道。
從ANSSI的說辭中，網(wǎng)絡防御組織揭露出中間證書實際上是ANSSI自己的基礎設施管理的信任管理架構，或者說就是"L‘infrastructure de gestion de la confiance de l’administration" （IGC/A）。ANSSI對于法國來說本身就是網(wǎng)絡響應和分割監(jiān)測機制。
ANSSI聲明偽造證書是一種“隨著使用過程而產生為了保障IT更加安全，卻造成了人為錯誤”的結果。這種錯誤對于整個網(wǎng)絡安全來說并不造成影響，對法國的政府和普通大眾也不會造成什么影響。
谷歌認為證書被運用于商業(yè)設備中，在私人網(wǎng)絡環(huán)境中使用，識別和監(jiān)測加密流量。根據(jù)谷歌的說話，用戶在上網(wǎng)
的時候要倍加留意此類事情的發(fā)生，但是操作卻違反了ANSSI的程序原則。
谷歌用這次事件強調證書透明度的必要性，打算修復SSL證書系統(tǒng)中的缺陷，這種缺陷易導致中間人進攻和網(wǎng)絡欺詐。谷歌針對此類漏洞的對策是，采用CA框架使監(jiān)控和審查這些證書，如此來排除流氓CA或者當違規(guī)證書企圖進入的時候進行隔離。
當這種框架被CA采納通過的時候，其效果歸根結底有賴于打算加入哪一種CA.
這已經(jīng)不是第一次SSL證書漏洞被曝光事件了。美國國家安全局曾被控通過未被授權的證書使用中間人攻擊來對抗谷歌。此外，在2011年8月，DigiNotar漏洞事件中，另一個發(fā)現(xiàn)一名伊朗黑客制造出了惡意證書來對付谷歌的域名。攔截用戶的Gmail密碼。
Copyright 2003-2022 安徽炎黃網(wǎng)絡科技有限公司 All Rights Reserved 炎黃網(wǎng)絡
版權所有
《中華人民共和國電信與信息服務業(yè)務經(jīng)營許可證》[ 皖B1.B2-20070016-1]
皖公網(wǎng)安備：34019202000382
聯(lián)系地址：合肥市高新區(qū)天智路5號同創(chuàng)科技園1號樓17層
24小時售后服務電話：0551-63670030
