Natknąłem się na ogromną lukę w zabezpieczeniach w urzędzie certyfikacji, któremu ufają wszystkie nowoczesne przeglądarki i komputery.
W szczególności jestem w stanie uzyskać ważny podpisany certyfikat dla domeny, której nie jestem właścicielem . Gdybym miał środki, aby zostać Człowiekiem Środka, byłbym w stanie przedstawić doskonale ważny certyfikat SSL.
Ta luka nie wymagała z mojej strony żadnych zastrzyków SQL ani kodowania. Natknąłem się na to całkiem w przenośni.
Jaki jest właściwy sposób zgłoszenia tego? Chcę być etyczny i zgłosić to właściwemu urzędowi certyfikacji, ale nie chcę też, aby po prostu naprawili lukę, a następnie zamiatali wszystko pod dywan. Wydaje się, że ten problem istnieje od jakiegoś czasu, a ja po prostu nie jestem na tyle sprytny, aby być jedyną osobą w stanie go znaleźć.
Obawiam się, że samo skontaktowanie się z urzędem certyfikacji spowoduje panikę ze swojej strony, a oni, obawiając się incydentu podobnego do DigiNotar, zrobią wszystko, aby opinia publiczna się nie dowiedziała.
Czy mogę również skontaktować się z niektórymi głównymi graczami, takimi jak inne organy certyfikujące lub inne witryny, takie jak jako CloudFlare czy Google? (Wiem, że CloudFlare otrzymał ostrzeżenie o HeartBleed, zanim wyszło publiczne ogłoszenie.)
Uwaga: piszę na koncie o pseudonimie, aby (spróbować) pozostać anonimowym na razie.
Edytuj: to pytanie jest powiązane z innym pytaniem, ale uważam, że ta luka wykracza poza zakres tego pytania. Może to wpłynąć zasadniczo na cały internet (tj. Każdy online jest klientem), a moje pytanie wyraźnie stwierdza, że zwykłe skontaktowanie się z „programistą” (zaakceptowana odpowiedź na pytanie, do którego prowadzi łącze), nie wydaje mi się najlepszym pierwszym krokiem.
Edycja 2: Skontaktowałem się z kilkoma osobami i doradzili mi, abym nie rozmawiał dalej na tym forum (przepraszam!). Zaktualizuję to pytanie później, po całkowitym usunięciu luki i unieważnieniu wszelkich nieprawidłowych certyfikatów.
Edycja 3: Szczegóły są niedostępne. W mojej osobistej witrynie zamieściłem więcej informacji o szczegółach tej luki. Historia wciąż trwa i możesz przeczytać dyskusję między Mozillą, Google i CA WoSign.
Edycja 4: Zgodnie z obietnicą aktualizuję za pomocą linku do artykuł napisany przez Ars Technica dotyczący tego i innych incydentów związanych z WoSign. Wygląda na to, że WoSign i StartCom (obecnie należące do tej samej firmy) mogą być poważnie zagrożone odebraniem uprawnień roota.