Google: الجدول الزمني لعدم الثقة في جميع شهادات Symantec في Chrome
- فئة: الإنترنت
نشرت Google جدولًا زمنيًا مؤخرًا على مدونة Google Security يسلط الضوء على الجدول الزمني لإسقاط الدعم للشهادات الصادرة عن Symantec في Chrome.
تخطط الشركة لإسقاط الدعم الكامل في Chrome 70 ، ولكنها لن تثق في الشهادات التي تم إصدارها قبل 1 يونيو 2016 في وقت مبكر من 15 مارس 2018 (Chrome 66).
جوهر المشكلة المحيطة بشهادات Symantec - تعمل الشركة تحت أسماء تجارية مثل VeriSign أو Thawte أو Equifac أو RapidSSL أو GeoTrust - هو أن Symantec `` عهدت للعديد من المنظمات بالقدرة على إصدار الشهادات دون الإشراف المناسب أو الضروري '' وفقًا لجوجل.
كانت Symantec على دراية بأوجه القصور الأمنية هذه ، وأظهرت الحوادث في الماضي مدى سوء الأمر. في عام 2015 على سبيل المثال ، تم إنشاء شهادات تغطي خمس مؤسسات بما في ذلك Google و Opera دون علم المنظمات المعنية.
سيمانتيك أتى إلى اتفاقية مع DigiCert تستحوذ بموجبها DigiCert على أمن موقع ويب Symantec وأعمال حلول PKI.
تخطط Google لإزالة الثقة من جميع الشهادات الصادرة عن Symantec في Chrome في العام المقبل. قامت الشركة بنشر جدول زمني يسلط الضوء على أهم تواريخ العملية.
- 24 تشرين الأول (أكتوبر) 2017 - Chrome 62 Stable - يبرز Chrome ما إذا كانت شهادة أحد المواقع غير موثوقة عند إصدار Chrome 66.
- 1 ديسمبر 2017 - ستكون البنية التحتية الجديدة لـ DigiCert 'قادرة على الإصدار الكامل'. الشهادات الصادرة عن البنية التحتية القديمة لشركة Symantec من الآن فصاعدًا ستتوقف عن العمل في التحديثات المستقبلية. لن يؤثر ذلك على الشهادات الصادرة عن DigiCert.
- 15 مارس 2018 - Chrome 66 Beta - أي شهادة تصدرها Symantec قبل 1 يونيو 2016 غير موثوقة. لن يتم تحميل المواقع ولكنها تصدر تنبيهًا للحصول على الشهادة بدلاً من ذلك.
- 13 سبتمبر 2018 - Chrome 70 Beta - تم إسقاط الثقة في البنية التحتية القديمة لشركة Symantec بالكامل في Google Chrome. لن يؤثر ذلك على الشهادات الصادرة عن DigiCert ، ولكنه سيحظر أي موقع يستخدم الشهادات القديمة.
لا يمكن لمستخدمي Chrome فعل أي شيء حيال ذلك ، حيث يحتاج مشغلو مواقع الويب إلى التبديل إلى شهادة لا تزال موثوقة من قِبل Google اعتبارًا من 14 مارس 2018. الخيار الوحيد المتاح لمستخدمي المتصفح هو السماح لمشغلي مواقع الويب بمعرفة مشكلات الشهادة ألا يجب أن يكونوا على علم بذلك.
سوف تتطابق Mozilla مع التواريخ التي اقترحتها Google تبعا إلى منشور بواسطة Gervase Markham في مجموعة Mozilla Dev Security Policy.
يحتاج مشرفو المواقع الذين يديرون المواقع بشهادات Symantec إلى إضافة شهادات جديدة إلى خصائص الويب الخاصة بهم قبل الموعد النهائي لضمان استمرار الوصول إلى تلك الخصائص. أحد الخيارات التي يجب على مشرفي المواقع استخدامها يتيح تشفير التي تقدم شهادات مجانية وآلية.