Новые требования соответствия Apple для частных SSL-сертификатов

Apple недавно объявила о некоторых новых требованиях безопасности для сертификата SSL / TLS, которые вступят в силу с выпуском iOS 13 и macOS 10.15. Эти требования касаются публичного и частного сертификата, выданного после 1 июля 2019 года.

Для ваших общедоступных сертификатов DigiCert SSL / TLS никаких действий не требуется.

Публичные сертификаты SSL / TLS DigiCert уже соответствуют всем этим требованиям безопасности. На эти публичные сертификаты SSL / TLS эти новые требования не влияют, и им будут доверять iOS 13 и macOS 10.15.

Что нового?

Apple реализует дополнительные требования безопасности для всех сертификатов SSL / TLS, которые по своей конструкции влияют на частные сертификаты SSL / TLS. См. Требования к доверенным сертификатам в iOS 13 и macOS 10.15. Частные сертификаты SSL / TLS DigiCert соответствуют этим требованиям, если они выданы администраторами учетных записей в соответствии с требованиями общедоступных сертификатов.

Ниже приведен список требований, которые могут повлиять на ваши частные сертификаты SSL / TLS. К счастью, эти версии ОС Apple планируется выпустить осенью этого года. Это значит, у вас есть время для подготовки.

• Необходимо использовать алгоритм из семейства SHA-2 в алгоритме подписи. Подписанные сертификаты SHA-1 больше не являются доверенными для SSL / TLS.
• Срок действия должен быть не более 825 дней. Сертификаты SSL / TLS со сроком действия более 825 дней больше не являются доверенными.

Если у вас есть личные сертификаты, которые не соответствуют этим требованиям, и для ваших личных сертификатов требуется доверие Apple iOS и macOS, вам необходимо убедиться, что все частные сертификаты SSL / TLS, выпущенные после 1 июля 2019 года, будут выданы изначально или переиздан до общей доступности iOS 13 и macOS 10.15.

Digicert повышает цены на некоторые сертификаты

C 4 июня 2019 года DigiCert увеличил рекомендованную розничную стоимость MSRP для всех сертификатов GeoTrust, Thawte и DigiCert Basic примерно на 15%.

Перевыпуск сертификатов

Если SSL-сертификат (RapidSSL, Geotrust, Symantec, Thawte) был выпущен

до 1 июня 2016 года
- нужно перевыпустить до 15 марта 2018 года
после 1 июня 2016 года
- нужно перевыпустить до 13 сентября 2018 года

DigiCert приобрел Symantec SSL направление

03.08.2017  было анонсировано, что компания Symantec решила сосредоточиться на развитии интегрированной платформы киберзащиты и объявила о том что продает свое подразделение, которое занимается обеспечением безопасности сайтов и (PKI) инфраструктурой открытых ключей компании DigiCert. Стоимость сделки составила $950 млн в денежной форме и 30% доли бизнеса.

Сообщается, что объединение мощностей обоих центров сертификации для обеспечения безопасности веб-сайтов позволит объединить таланты отрасли и предоставить клиентам расширенную технологическую платформу, непревзойденную поддержку клиентов и инновационные решения на рынке. DigiCert получит возможность использовать возможности роста в IoT и внедрить новые подходы к рынку SSL. DigiCert будет продолжать работать из своей штаб-квартиры в Лехе, штат Юта, где задействовано более 1000 специалистов.

SHA-256

SHA-256: Default Hashing Algorithm

С 9 декабря 2014 года Symantec по умолчанию выдает сертификаты SSL и Code Signing с хэш-алгоритмом SHA2 . Пользователи, которым необходим сертификат SHA1 SSL при заказе должны указать этот алгоритм как желаемый.

Symantec Competitive Replacement Program

Обращаем Ваше внимание, что  продолжает свое действие  программа  Symantec Competitive Replacement Program по обмену сертификатов SSL.

Вы можете обменять любой Ваш действующий ssl сертификат сертификационных центров, которые не входят в  Semantec group на любой более престижный сертификат  VeriSign, Thawte или GeoTrust и при этом увеличить срок действия сертификата бесплатно до 12 месяцев дополнительно.

Для  того чтобы узнать подробности или оформить заявку на обмен используйте форму обратной связи

CodeSigning и SSL сертификаты для государственных учреждений и учебных заведений Украины

7 ноября 2012 года стартовала новая программа от  WebTrust Ukraine по поставке ssl  сертификатов для государственных учреждений и учебных заведений Украины со скидкой до 75% http://B2Bssl.com

В Иране заблокировали доступ к соцсетям и личной почте

Уже второй раз за последнюю неделю жители Ирана столкнулись с проблемами доступа в интернет. Иранцы сообщают блокировке социальных сетей и электронной почты, недоступности международных сайтов, по протоколу SSL (Secure Sockets Layer).

По сообщению агентства Reuters, специалист из Тегерана рассказал: «Электронная почта, прокси и все защищенные каналы, которые начинаются с «https», недоступны»

Как мы знаем, в Иране проводится подготовка к парламентским выборам 2 марта, это первые общенациональные выборы после выборов 2009 года.

Для сторонников оппозиции социальные сети стали местом для организации протестов после переизбрания в 2009 году президента Махмуда Ахмадинежада. Интернет в странах арабского мира во многом способствовал революции, которая была названа средствами массовой информации «арабской весной».

Общеизвестно, что интернет-блокировка в Иране происходит накануне парламентских выборов. По мнению жителей Ирана считают, запрет доступа к социальным сетям и другим сайтам это прямое проявление государственной цензуры.

Отмечается, что с каждым днем ситуация становится все хуже, VPN не работает.

Mozilla направили письмо удостоверяющим центрам

Как сообщается на официальном блоге Mozilla,  всем удостоверяющим сертификационным центрам, чьи корневые сертификаты которых присутствуют в составе Firefox и других продуктов Mozilla, было направлено официальное письмо с требованием отозвать все  вторичные корневые сертификаты, которые были выданы сторонним организациям.

Как известно, Mozilla публично осудила подобную практику  так как считает недопустимыми действия по выдаче вторичных корневых сертификатов, даже в случаях использования подобных сертификатов   в закрытой сети исключительно для внутренних корпоративных нужд. Нарушается  основной принцип сертификации - так как удостоверяющий центр должен являться единственным первичным звеном, которое  полностью контролируеть процесс и несет полную ответственность за все подписанные сертификаты. В связи с этим нельзя допускать включение в цепочку утверждения сертификатов сторонних и неподконтрольных удостоверяющему центру компаний.

В своем письме Mozilla предъявила удостоверяющим центрам список требований требований, среди которых требование отозвать все выданные сторонним лицам вторичные корневые сертификаты, ликвидировать  используемые для хранения этих сертификатов HSM-модули, опубликовать серийные номера данных сертификатов и сигнатуры корневых сертификатов, которые используются для их подписи.

Данная информация позволит Mozilla и другим заинтересованным лицам определять и блокировать все сертификаты, которые созданы с использованием вторичных корневых сертификатов.

Установлена дата -27 апреля, до которой все удостоверяющие сертификационные центры должны выполнить данные требования. В обратном случае, Mozilla удалит из списка корневых сертификатов, поставляемого в составе своих продуктов, сертификаты удостоверяющих центров, которые были замечены в практике продажи вторичных корневых сертификатов. В частности, речь ведётся об удостоверяющем центре Trustwave. После удаления сертификата из списка корневых сертификатов Mozilla, все другие сертификаты, подписанные данным удостоверяющим центром, будут отображаться в Firefox как не заслуживающие доверия.

Firefox планирует блокировать Trustwave CA

В настоящее время проводится обсуждения вопроса об исключении из бразуера Firefox и других продуктов Mozilla корневого сертификата удостоверяющего сертификационного центра Trustwave. В результате продажи компанией Trustwave корневого ключа стороннему лицу, посторонняя организация получила возможность производить неограниченное количество SSL -сертификатов для любых доменов.

Подобное действие противоречит политике построения цепочки доверия, которая принята в Mozilla и может служить угрозой информационной безопасности пользователей. Список доверенных сертификатов используется также в других продуктах  (например, в Perl-модуле Net::SSL). Представители  компании Trustwave не видят в сложившейся  ситуации ничего выходящего за рамки обычной бизнес-практики и приводят как пример покупку центра сертификации VeriSign компанией Symantec .