Проект Mozilla разослал всем удостоверяющим центрам, корневые сертификаты которых поставляются в составе Firefox и других продуктов Mozilla, письмо с требованием отозвать все выданные сторонним организациям вторичные корневые сертификаты.

В последнее время входят в обиход случаи генерации вторичных корневых сертификатов для обеспечения работы систем, направленных на транзитный перехват и расшифровку SSL-трафика, например систем корпоративного отслеживания утечек данных. Генерируемые для подобных систем вторичные корневые сертификаты позволяют создать корректный и не вызывающий подозрения сертификат для любого сайта в сети, без привлечения удостоверяющего центра, авторизованного на выполнение подобных операций.

Mozilla публично осудила такую практику и считает действия по выдачи вторичных корневых сертификатов недопустимыми, даже если подобные сертификаты используются в закрытой сети, только для внутренних корпоративных нужд. В частности, это подрывает основной принцип сертификации - когда удостоверяющий центр является единственным первичным звеном, полностью контролирует процесс и несёт полную ответственность за все подписанные сертификаты. Поэтому нельзя допустить включение в цепочку утверждения сертификатов сторонних и неподконтрольных удостоверяющему центру компаний.

В связи с этим, Mozilla предъявила удостоверяющим центрам несколько требований:

    Отозвать все выданные сторонним лицам вторичные корневые сертификаты и уничтожить используемые для хранения этих сертификатов HSM-модули.
    Опубликовать серийные номера данных сертификатов и сигнатуры корневых сертификатов, используемых для их подписи. Подобная информация позволит Mozilla и другим заинтересованным лицам определить и блокировать все сертификаты, созданные с использованием вторичных корневых сертификатов.

Удостоверяющие центры должны выполнить данные требования до 27 апреля. Если требования не будут выполнены, Mozilla удалит из списка корневых сертификатов, поставляемого в составе своих продуктов, сертификаты удостоверяющих центров, уличённых в практике продажи вторичных корневых сертификатов. В частности, речь ведётся об удостоверяющем центре Trustwave. После удаления сертификата из списка корневых сертификатов Mozilla, все другие сертификаты, подписанные данным удостоверяющим центром, будут отображаться в Firefox как не заслуживающие доверия.

Источник

https://blog.mozilla.com/security/2012/ … inate-cas/

Одним словом сейчас творится фигня с этими сертификатам.

Если быть строго последовательными, то нужно и удалять из списка корневых сертификатов те центры сертификации, которые были уличены в сокрытии последствий взломов и выпуска поддельных сертификатов. Короче, раз выкинули Diginotar, то нужно выкинуть и Comodo. Только пойти против Comodo кишка тонка, большие люди могут не понять

Ну и сколько % перейдут на Chrome после такого изменения?

TLemur
Сколько после этого параноиков придёт с хрома? Ой... На хроме же нет параноиков >__>

TLemur@
В Chrome планируют отказаться от онлайн-проверки сертификатов Видимо уже всех достали центры сертификации...

Ну и что там, осаждённые выполнили условия ультиматума?

Не видать сертификат Trustwave в Лисе или он по другому называется... не нашел...

Вот список их сертификатов:
SecureTrust CA [CRL]
Secure Global CA [CRL]
XRamp Global Certification Authority [CRL]
XRamp Security Services GS CA [CRL]

https://ssl.trustwave.com/CA/

У меня только последнего нет, остальные присутствуют.