تكبير / لقطة شاشة توضح ثغرة أمنية حرجة في موقع Trustico قبل أن يصبح غير متاح. @ Manawyrm
موقع Trustico ذهب دون اتصال صباح يوم الخميس ، حول بعد 24 ساعة تم الكشف عن أن الرئيس التنفيذي لشركة HTTPS ومقرها المملكة المتحدة أرسل بائع الشهادة 23000 مفتاحًا خاصًا إلى شريك.
قراءة متعمقة
استحوذت 23000 شهادة HTTPS على بريدك الإلكتروني وجاء إغلاق الموقع بعد فترة وجيزة من خبير أمن الموقع كشف عن ثغرة أمنية حرجة على موقع تويتر بدا أنها تحدث من الممكن للأجانب تشغيل تعليمات برمجية ضارة على Trustico الملقمات. الضعف ، في موقع trustico.com ميزة ذلك سمح للعملاء بتأكيد الشهادات تم تثبيتها بشكل صحيح على مواقعهم ، ظهر لتشغيل كجذر. عن طريق إدخال الأوامر إلى نموذج التحقق من الصحة ، يمكن للمهاجمين استدعاء رمز من اختيارهم و احصل عليه لتشغيله على خوادم Trustico مع “الجذر” غير المقيد امتيازات ، وأشار سقسقة.
“إذا كان الأمر كذلك ، فالأمر سيء للغاية” وقال الباحث سكوت هيلمي لآرس.
لم يرد ممثلو Trustico على الفور على رسالة بريد إلكتروني تسعى للحصول على تعليق لهذا المنصب.
وقال خبير أمن الموقع الذي نشر الضعف في سقسقة المتابعة التي نشرت الخلل الحرج سابقا. لم يقل أين ومتى ، ولم يرد على ذلك الرسائل التي طلبت هذه التفاصيل. صاحب التغريد الشخصي التعرف عليه كقائد الفصل المحلي للويب المفتوح مشروع أمان التطبيق في صربيا.
لم يضيع النقاد أي وقت من الأوقات يوم الأربعاء في الانتظار على Trustico الكلمة التالية قد تم أرشفة المفاتيح الخاصة شهادة ، أ الممارسة التي تنتهك بشكل أساسي خط الأساس الملزم للصناعة المتطلبات التي تم تحديدها بواسطة منتدى متصفح المرجع المصدق. ال غضب جماعي من حقيقة أن المفاتيح كانت متاحة لل الرئيس التنفيذي للشركة ، بدلا من أن يتم تخزينها على الآلات المعزولة ، و أن الرئيس التنفيذي أرسلهم في رسالة بريد إلكتروني. حدد DigiCert الرئيس التنفيذي زين لوكاس. استشهد موقع Trustico بموقع لوكاس كمدير.
وقال إريك ميل ، خبير في البنية التحتية للمفتاح العام ، إنه كان كذلك ممزقة حول ما إذا كان نشر الثغرة الأمنية على Twitter مبررة.
“فقط لأنك تتراكم على شركة تقوم بذلك الأشياء غير المسؤولة لا تجعل إجراء الكشف العام أمرًا مقبولًا ” قال لآرس. في الوقت نفسه ، أشار إلى أن بعض المسؤولين Trustico وقد ادعى علنا الانتقادات المتصاعدة ضدهم هو التشهير واستخدمت لغة أخرى للإشارة إلى أنها قد تأخذ إجراءات قانونية ضد النقاد. هذه الأنواع من السلوك غالبا ما يكون تأثير تقشعر لها الأبدان على أشكال مسؤولة أكثر من الضعف إفشاء. في النهاية ، قال ميل ، “هناك حجج على حد سواء الجانبين “.
آخر تحديث لإضافة تفاصيل حول الرئيس التنفيذي في الثالث إلى الأخير الفقرة.
