Google Chrome совместно с Symantec расследует ошибочный выпуск 30 000 сертификатов

Разработчики Google Chrome во время исследования обнаружили, что Symantec ошибочно выпустили более 30 тыс. SSL-сертификатов за последние несколько лет.

В результате этого эксперты из Google решили предпринять довольно жесткие меры:

• Отменить признание статуса расширенной проверки для всех EV-сертификатов, выпущенных Symantec и принадлежащих этой кампании центров сертификации. Согласно этому заявлению, все EV SSL-сертификаты Symantec будут распознаваться браузером как DV, т.е. самые простые SSL-сертификаты с проверкой по домену.
  
• Постепенно аннулировать все выданные в данный момент сертификаты от Symantec и связанных с этой компанией центров сертификации. Аннулирование будет производиться путем постепенного снижения срока действия сертификатов Symantec в последующих релизах браузера. В Chrome 59 сертификаты будут действовать не более 33 месяцев, в то время как в Chrome 64 планируется ограничить срок действия SSL-сертификатов Symantec всего 9 месяцами.
  

Как показало исследование, проводимое специалистами из Google, удостоверяющий центр Symantec выпустил за последние несколько лет более 30000 сертификатов в обход существующих практик.

Представители Symantec не согласны с представленными обвинениями и опровергают сведения об ошибочном выпуске 30000 SSL-сертификатов. Symantec признали, что имел место выпуск 127 сертификатов, однако это было сделано случайно и не привело к какому-либо ущербу для клиентов. При этом меры по устранению данных проблем были предприняты в полном объеме.

В данный момент представители Google ведут активные обсуждения данной ситуации с Symantec. Мы будем держать вас в курсе событий.

Ссылки по теме:

1. Официальное заявление разработчиков Chrome: https://groups.google.com/a/chromium.org/forum/#%21topic/blink-dev/eUAKwjihhBs
2. График выхода версий браузера и планируемые в них изменения по Symantec SSL-сертификатам: https://www.chromium.org/developers/calendar
3. Официальный ответ Symantec на обвинения: https://www.symantec.com/connect/blogs/symantec-backs-its-ca 
4. Детальный разбор ситуации: https://arstechnica.com/security/2017/03/google-takes-symantec-to-the-woodshed-for-mis-issuing-30000-https-certs.