Η Microsoft αποφάσισε πρόσφατα να καταργήσει τα πιστοποιητικά ασφάλειας από δύο κινεζικές εταιρείες, ακολουθώντας τα κακά πρότυπα ασφαλείας. Ως αποτέλεσμα, ο Internet Explorer και το Edge δεν δέχονται πλέον πιστοποιητικά ασφαλείας από τα WoSign και StartCom.

Ως σύντομη υπενθύμιση, τα προγράμματα περιήγησης χρησιμοποιούν πιστοποιητικά ασφαλείας για τον έλεγχο ταυτότητας ασφαλών συνδέσεων σε ιστότοπους. Η απόφαση της Microsoft έρχεται μετά από εκθέσεις που αποκάλυψαν ότι οι δύο εταιρείες χρησιμοποίησαν απαράδεκτες πρακτικές ασφαλείας. Ειδικότερα, και οι δύο εταιρείες προσέφεραν δωρεάν πιστοποιητικά και κατέφυγαν σε ανέντιμες πρακτικές προκειμένου να αυξήσουν τη βάση των χρηστών τους.

Ακολουθεί η επίσημη δήλωση της Microsoft σχετικά με το θέμα:

Η Microsoft κατέληξε στο συμπέρασμα ότι οι Κινέζοι Αρχές Πιστοποίησης (CA) WoSign και StartCom δεν κατάφεραν να διατηρήσουν τα πρότυπα που απαιτούνται από το Trusted Root Program. Οι παρατηρούμενες απαράδεκτες πρακτικές ασφαλείας περιλαμβάνουν τα πιστοποιητικά SHA-1, τις μη σωστές εκδόσεις πιστοποιητικών, την ανάκληση τυχαίων πιστοποιητικών, τους σειριακούς αριθμούς διπλών πιστοποιητικών και τις πολλαπλές παραβιάσεις των απαιτήσεων βασικής γραμμής CAB Forum (BR).

Η Microsoft εκτιμά την παγκόσμια κοινότητα της Αρχής Πιστοποίησης και λαμβάνει αυτές τις αποφάσεις μόνο αφού εξετάσει προσεκτικά το τι είναι καλύτερο για την ασφάλεια των χρηστών μας.

Η Microsoft δεν είναι η μόνη εταιρεία που έλαβε αυτή την απόφαση. Άλλοι γίγαντες της τεχνολογίας, συμπεριλαμβανομένων των Google και της Apple, έχουν ήδη ανακαλέσει την εμπιστοσύνη τους σε πιστοποιητικά από την WoSign και την StartCom. Πιθανότατα, σύντομα θα ακολουθήσουν και άλλες εταιρείες.

Η Microsoft ξεκινά την κατάργηση των πιστοποιητικών το Σεπτέμβριο

Η εταιρεία θα ξεκινήσει τη φυσική απόσβεση αυτών των πιστοποιητικών τον επόμενο μήνα. Με άλλα λόγια, όλα τα υπάρχοντα πιστοποιητικά θα συνεχίσουν να λειτουργούν μέχρι να αυτοεξάγονται. Μετά το Σεπτέμβριο του 2017, τα Windows 10 δεν θα εμπιστευτούν νέα πιστοποιητικά που εκδίδουν οι δύο εταιρείες.

Εάν διαθέτετε ένα πιστοποιητικό WoSign και StartCom στην παραγωγή, η καλύτερη λύση είναι να το αντικαταστήσετε απλά με ένα άλλο πιστοποιητικό που εκδίδεται από αξιόπιστη και αξιόπιστη Αρχή Πιστοποίησης.