Mozilla обеспокоена приобретением DigiCert бизнеса Symantec по выпуску сертификатов

Компания Mozilla выразила обеспокоенность по поводу приобретения удостоверяющим центром DigiCert технологий Symantec для обеспечения безопасности web-сайтов и связанной с ними инфраструктуры открытых ключей.

В связи с рядом случаев ошибочной выдачи TLS-сертификатов компании Mozilla и Google потребовали от Symantec и ее партнеров в течение года заменить все существующие цифровые сертификаты. Более того, все новые сертификаты должны быть выпущены с использованием инфраструктуры вспомогательного удостоверяющего центра. Microsoft и Apple пока никак не комментируют сложившуюся ситуацию, однако они, скорее всего, присоединятся к Mozilla и Google.

Вместо того, чтобы найти вспомогательный УЦ для выпуска новых сертификатов, Symantec решила продать свой бизнес по выдаче сертификатов американской компании DigiCert за $950 млн и 30% ее акций. Сделка была закрыта во вторник, 31 октября.

Руководство DigiCert обратилось к Mozilla с целью узнать мнение компании по поводу сделки. Еще раньше руководство Mozilla выражало обеспокоенность возможным участием Symantec в выпуске сертификатов от имени DigiCert, которое может привести к повторению инцидентов. Теперь же компания сообщила DigiCert о своих опасениях по четырем пунктам.

Во-первых, Mozilla выступила против регулярного выпуска сертификатов с использованием старой инфраструктуры Symantec. Компания также обеспокоена тем, что сотрудники Symantec, занимающиеся проверкой и операциями, продолжат работу, не пройдя предварительный тренинг от DigiCert. Более того, процесс выдачи сертификатов Symantec может полностью заменить процесс DigiCert, и все проблемы снова повторятся. И наконец, Mozilla рекомендовала DigiCert не позволять Symantec контролировать УЦ.

Инфраструктура открытых ключей – набор средств (технических, материальных, человеческих и т. д.), распределенных служб и компонентов, в совокупности используемых для поддержки криптозадач на основе закрытого и открытого ключей.