Google: tidslinje för misstroende av alla Symantec-certifikat i Chrome

Prova Vårt Instrument För Att Eliminera Problem

Google publicerade en tidslinje nyligen på Googles säkerhetsblogg som belyser tidslinjen för att släppa stöd för Symantec-utfärdade certifikat i Chrome.

Företaget planerar att tappa fullt stöd i Chrome 70, men misstroar certifikat som utfärdades före 1 juni 2016 redan den 15 mars 2018 (Chrome 66).

Kärnan i frågan kring Symantec-certifikat - verksamheten verkar under varumärken som VeriSign, Thawte, Equifac, RapidSSL eller GeoTrust - är att Symantec 'anförtrot flera organisationer möjligheten att utfärda certifikat utan lämpligt eller nödvändigt tillsyn' enligt att googla.

symantec certificate google chrome firefox

Symantec var medveten om dessa säkerhetsbrister, och händelser tidigare visade hur illa det var. 2015 till exempel skapades certifikat som täcker fem organisationer inklusive Google och Opera utan kunskap om de berörda organisationerna.

Symantec kom till ett avtal med DigiCert enligt vilket DigiCert kommer att förvärva Symantecs webbplatssäkerhets- och PKI-lösningsverksamhet.

Google planerar att ta bort förtroende från alla Symantec-utfärdade certifikat i Chrome under det kommande året. Företaget publicerade en tidslinje som belyser processens viktigaste datum.

  • 24 oktober 2017 - Chrome 62 Stabil - Chrome belyser om ett certifikat för en webbplats kommer att misstro när Chrome 66 släpps.
  • 1 december 2017 - DigiCerts nya infrastruktur kommer att 'kunna utfärdas fullt ut'. Certifikat som utfärdats av Symantecs gamla infrastruktur från denna punkt framåt kommer att upphöra att arbeta i framtida uppdateringar. Detta påverkar inte certifikat som utfärdats av DigiCert.
  • 15 mars 2018 - Chrome 66 Beta - Alla Symantec-utfärdade certifikat före 1 juni 2016 är misstroade. Webbplatser laddas inte utan kastar ett certifikatvarning istället.
  • 13 september 2018 - Chrome 70 Beta - Förtroende för Symantecs gamla infrastruktur släpps helt i Google Chrome. Detta påverkar inte DigiCert-utfärdade certifikat, men kommer att blockera alla webbplatser som använder gamla certifikat.

Chrome-användare kan inte riktigt göra något åt ​​detta, eftersom webbplatsoperatörer måste byta till ett certifikat som fortfarande är betrodd av Google redan den 14 mars 2018. Det enda alternativet som användare av webbläsaren har är att låta webbplatsoperatörer veta om certifikatproblem skulle de inte vara medvetna om detta.

Mozilla matchar de datum som Google föreslår enligt till ett inlägg av Gervase Markham i Mozilla Dev Security Policy-gruppen.

Webbmästare som driver webbplatser med Symantec-certifikat måste lägga till nya certifikat till sina webbegenskaper före tidsfristen för att säkerställa fortsatt åtkomst till dessa egenskaper. Ett alternativ som webbansvariga har är att använda Låter kryptera som erbjuder gratis och automatiserade certifikat.