伦敦网络协议:让使用OV和EV证书加密的网站更安全

0
1198

证书机构(CA)正大力宣传伦敦网络协议,以提高使用组织验证(OV)扩展验证(EV)SSL证书加密的网站的安全性——但是浏览器会支持它吗?

SSL行业为何如此特别,伦敦网络协议就是一个能说明这一问题的很好的例子。一个行业内的前五大公司聚集到一起,试图解决其销售的产品的问题,这种情况还十分罕见。但这却是实实在在正在发生的事情:由CA安理会牵头,Comodo、Entrust、GlobalSign、GoDaddy和Trustwave已经结盟共同支持伦敦网络协议——一项旨在改进身份证明证书(OV和EV证书)的正式倡议。

此倡议是根据它首次提出的地点来命名的——在本月初于伦敦举行的证书机构/浏览器论坛(CAB论坛)面对面会议。

作为Entrust的策略副总裁,Chris Bailey写道:

“我们行动的起源来自于HashedOut一份报告,该报告指出“在2016年1月1日到2017年3月6日之间,Let’s Encrypt证书机构总共签发了15270个包含‘PayPal’字样的SSL证书。Let’s Encrypt的这些证书都被签发给了不法分子,而这些不法分子会在其域名中使用“PayPal”字样来骗取在线用户发送其个人数据——换句话说,来窃取他人的身份。这些由Let’s Encrypt所签发的证书无一例外都是域名验证证书,这意味着它们可以被签发给匿名网站,因为签发流程是100%自动化的。”

现在,让我们来具体谈一谈此伦敦网络协议吧,为什么CA会提出该协议,以及该协议将会带来何种影响。

伦敦网络协议背后的情况

尽管我们很想把功劳记在自己的身上,但除了一些糟糕的PayPal证书之外,还有其他很多恶意的证书问题需要解决。目前,扩展验证SSL证书的处境是十分危险的。其中部分原因在于在过去大概一年时间中所发生的两起事件,在这两起事件中,颇具进取精神的安全研究人员创建出了两家虚构的公司,然后利用所制造出的混乱局面创建了与另一个EV证书相同或相似的EV证书。

在一个例子中,Ian Carroll创建了一个名为Stripe in Kentucky的公司,然后获得了一个与Stripe支付公司的EV证书没有任何区别的扩展验证证书。在另一个例子中,James Burton创建了一个名为“Identity Verified”的公司,然后获得了一个有可能误导用户的EV证书。这两个证书都没有造成任何影响,并且这两个例子还显示出,为了获取EV验证证书,网络钓鱼者所需要经过的长度,考虑到大多数钓鱼网站的平均生命周期都不会超过15个小时,这似乎不太可能实现。

Burton在Mozilla开发人员安全论坛(Mozilla.Dev.Security forum)写道:

“EV的寿命是向上天借来的,而弃用EV是目前最合理的可行解决方案,并且它也能使我们在摒弃过去旧的网络安全框架中又向前迈进一步。既然我和Ian现在都已经演示了EV的基本问题以及它在UI中显示的方式,利用EV进行网络钓鱼只是时间的问题。”

现在,让我们试着忽略浮夸的陈述,把注意力集中在实质上来。首先,该行业内的一些有影响力的人已经注意到了弃用EV这一问题。谷歌已经没有在Chrome移动设备上显示EV了,并且已经试图移除EV在Chrome桌面的唯一标志——通常被称为绿色地址栏——而且声称将移除所有EV标志。苹果可能也会对其移动和桌面浏览器Safari的未来版本采取同样的措施。

威胁是真实存在的。

其次这件事是假的。James Burton并没有打开了一些闸门,现在已经出现了一系列的EV网络钓鱼事件。事实上,恰恰相反。在研究了一个月的网络钓鱼活动之后,研究人员发现,只有0.05%(三家)的HTTPS钓鱼网站使用了EV证书。这表明利用EV的网络钓鱼被严重夸大了。

什么是伦敦网络协议?

伦敦网络协议是CA的一项提议,目的是改进组织验证和扩展验证SSL证书。它要求已签署合作协议的各CA机构进行前所未有的合作,共享数据,以使OV和EV证书更加安全。

它的目的是:

“提高身份证明保证,并尽量减少在由OV(组织验证)和EV(扩展验证)证书(统称为“身份证明网站”)加密的网站上的钓鱼活动。伦敦网络协议强化了身份证明网站之间的区别,这使得对用户来说这些网站比使用DV(域名验证)证书来进行加密的网站更安全。然后,其他人就可以利用这个安全特性来实现自己的安全目的,包括通知用户他们正在访问的网站类型,以及在其安全算法中反网络钓鱼引擎和浏览器过滤器的使用情况。”

已签署合作协议的CA已同意采取以下步骤:

1. 监控他们已出售OV或EV证书给之的网站的网络钓鱼行动。

2. 通知上述网站发现了网络钓鱼活动并提供补救指导。

3. 设立一个常用数据库,以帮助减低未来的网络钓鱼行动。

该网络协议目前计划分四个阶段进行,从6月开始,到2019年3月结束。 

伦敦网络协议会有效吗?

在这一点上很难说。坦率地说,这完全取决于一小撮人的心血来潮——有些人甚至不愿意进行这样的讨论,这对他们来说是唯恐避之不及的。

同时伦敦网络协议也不乏批评者。上月,拥有属于其自己的同名CA的DigiCert,以及赛门铁克、GeoTrust、Thawte和RapidSSL正式宣布将退出CA机构,并提出了一个解决身份证明证书问题的不同方法。

从我们的角度来看,这是很好的一步——值得付出的努力——但它只是在治疗一个症状,而不是解决问题的根本原因。我们可以理解为什么DigiCert认为这个倡议没有抓住要点。

身份证明证书,特别是扩展验证证书,需要进行合法的改进,而不只是简单地提供售后网络钓鱼监控服务。针对上述发生证书碰撞的情况,还需要对两个案例进行一些改进,以便进行进一步的验证和讨论。

如果有任何迹象表明谷歌和苹果浏览器将会推出高级版,那么这些对话就需要进行。

我们支持伦敦网络协议,以及任何可以让拥有身份证明的网站变得更安全的事情,这是毫无疑问的。但是,为了解决身份证明证书的问题,尤其是EV证书的问题,伦敦网络协议需要成为一个更大的计划的一部分。这可能不是整个计划本身。

此外,如果没有浏览器社区的支持,这一切都没有任何意义。

不过,这仍旧是一个好的开始。希望参与的CA机构所显示出来的协作精神能够带来更多更好的东西。