Фальшиві сертифікати SSL

Вчора прийшло попередження, що один з ліцензіатів Comodo (InstantSSL) навидавав фішерам фальшивих сертифікатів для відомих сайтів (гугль,амазон, ebay, yahoo etc). Такі сертифікати потрібні для DNS poisoning'а і інших видів атак, пов'язаних із підміною сайтів.

Ці сертифікати вже були відкликані через CRL (Certificate Revocation Lists), але додатково основні гравці (MIcrosoft, Google, Mozilla etc) випустили оновлення, щоб примусити свої продукти скачати свіжі CRL з сервера. Що потрібно зробити вам -- поставити доступні оновлення від основних виробників мережевого ПЗ. Microsoft вже роздає цей апдейт через Windows Update, решту софта треба перевіряти. Також не забувайти включати в мережевих програмах опції (де наявні) "перевіряти статус сертифікатів в онлайні" і "отримувати листи відкликання сертифікатів" (ці опції можуть називатись по-різному в різних програмах.

Нагадаю, що від DNS Poisoning'а із використанням такого фальшивого сертифікату ви так просто не врятуєтесь, хіба що у вас локально записані справжні адреси цих сайтів (але це ідея погана і складна в реалізації для пересічного громадянина)