Google Chrome будет помечать сайты с недействительными сертификатами Entrust
С самых первых дней компьютерных технологий ученые признавали необходимость безопасной передачи информации. Ранние компьютерные протоколы, такие как Telnet, передавали данные (например, имена пользователей и пароли) через интернет без шифрования, делая их видимыми для любого желающего. Эти протоколы были заменены на более безопасные, использующие шифрование с открытым ключом для передачи данных, и аналогичное шифрование используется большинством сайтов сегодня для безопасного перемещения вашей информации между их серверами и вашим браузером.
Сайты используют цифровые сертификаты для подтверждения своей идентичности и предоставления публичных криптографических ключей, которые ваш браузер может использовать для установления безопасного соединения. Но ваш браузер не будет доверять любому сертификату. Вместо этого у вашего браузера есть внутренний список доверенных издателей сертификатов (они обычно называются корневыми хранилищами, вот корневое хранилище Chrome), с которыми он автоматически устанавливает безопасное соединение. Сегодня Google объявила, что исключает как минимум одного издателя сертификатов из этого списка. Кто попадает в немилость?
В посте, опубликованном сегодня в блоге безопасности Google (обнаруженном 9to5Google), компания выделяет удостоверяющий центр (CA) Entrust. Похоже, что Entrust не совершил конкретного действия, чтобы попасть в черный список Google, а демонстрировал определенную модель поведения. Чтобы попасть в список доверенных CA, необходимо пройти через множество проверок, и Google ясно дает понять в своем блоге, что Entrust «не оправдал» их ожиданий. Исключение Entrust из числа элитных CA не произойдет немедленно. Любой сертификат Entrust, выданный после 31 октября 2024 года, больше не будет автоматически доверяться Chrome. Это не означает, что пользователи Chrome потеряют доступ к любым сайтам, использующим сертификаты Entrust, пользователям просто нужно будет вручную включить доверие к Entrust или пройти через экран предупреждения при посещении сайта с сертификатами Entrust. Эти изменения коснутся всех пользователей Chrome, кроме пользователей iOS.
Почему важно заботиться о сертификатах
Вы, вероятно, сталкивались с предупреждениями о сертификатах в своем браузере, если вы хоть немного бродили по интернету. В большинстве случаев это не представляет большой опасности, если вы переходите на один из этих сайтов, обозначенных браузером как «опасные», но вы должны знать, что эти сайты, скорее всего, не используют шифрование для передачи данных между сервером и браузером. Это означает, что если вы используете имя пользователя или пароль на одном из таких небезопасных сайтов, кто-то может подслушивать и забирать эту информацию у вас. Другими словами, не используйте личную информацию на небезопасных сайтах. Наличие актуального сертификата также является признаком того, что сайт заботится о своей безопасности. Учитывая, что любой сайт, использующий Entrust, теперь будет считаться недоверенным, многие крупные интернет-компании, вероятно, стремятся сменить своих поставщиков сертификатов. Entrust в настоящее время используется такими сайтами, как MoneyGram и Министерство энергетики США, но, если Entrust не удастся заключить сделку с Google, почти наверняка они будут менять поставщиков. Стоит отметить, что Entrust по-прежнему находится в списке доверенных CA Firefox, но учитывая, что Chrome контролирует более 65% рынка браузеров, мнение Firefox о Entrust вряд ли изменит ситуацию.
