Google: cronograma para desconfiar de todos os certificados da Symantec no Chrome
- Categoria: Internet
O Google publicou uma linha do tempo recentemente no blog Google Security que destaca a linha do tempo para descartar o suporte para certificados emitidos pela Symantec no Chrome.
A empresa planeja abandonar o suporte total no Chrome 70, mas não confiará nos certificados emitidos antes de 1º de junho de 2016, já em 15 de março de 2018 (Chrome 66).
O cerne da questão em torno dos certificados da Symantec - a empresa opera sob nomes de marcas como VeriSign, Thawte, Equifac, RapidSSL ou GeoTrust - é que a Symantec 'confiou a várias organizações a capacidade de emitir certificados sem a supervisão apropriada ou necessária' de acordo para o Google.
A Symantec estava ciente dessas deficiências de segurança e incidentes no passado mostraram o quão ruim ela era. Em 2015 por exemplo, os certificados foram criados cobrindo cinco organizações, incluindo Google e Opera, sem o conhecimento das organizações envolvidas.
Symantec veio a um acordo com a DigiCert segundo o qual a DigiCert adquirirá os negócios de segurança de sites da Symantec e soluções de PKI.
O Google planeja remover a confiança de todos os certificados emitidos pela Symantec no Chrome no próximo ano. A empresa divulgou um cronograma que destaca as datas mais importantes do processo.
- 24 de outubro de 2017 - Chrome 62 Estável - O Chrome destaca se um certificado de um site não será confiável quando o Chrome 66 for lançado.
- 1 ° de dezembro de 2017 - A nova infraestrutura da DigiCert será 'capaz de emissão total'. Os certificados emitidos pela infraestrutura antiga da Symantec a partir deste ponto deixarão de funcionar em atualizações futuras. Isso não afetará os certificados emitidos pela DigiCert.
- 15 de março de 2018 - Chrome 66 Beta - Qualquer certificado emitido pela Symantec antes de 1º de junho de 2016 não é confiável. Os sites não carregam, mas emitem um alerta de certificado.
- 13 de setembro de 2018 - Chrome 70 Beta - A confiança na infraestrutura antiga da Symantec foi totalmente abandonada no Google Chrome. Isso não afetará os certificados emitidos pela DigiCert, mas bloqueará qualquer site que use certificados antigos.
Os usuários do Chrome não podem fazer nada sobre isso, pois os operadores de sites precisam mudar para um certificado que ainda seja confiável para o Google já em 14 de março de 2018. A única opção que os usuários do navegador têm é informar os operadores de sites sobre problemas de certificado eles não deveriam estar cientes disso.
Mozilla coincidirá com as datas propostas pelo Google de acordo a uma postagem de Gervase Markham no grupo Mozilla Dev Security Policy.
Os webmasters que administram sites com certificados da Symantec precisam adicionar novos certificados às suas propriedades da web antes do prazo para garantir o acesso contínuo a essas propriedades. Uma opção que os webmasters têm é usar Vamos criptografar que oferece certificados gratuitos e automatizados.