域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過

被破壞的代碼簽名證書讓黑客能夠偽造數(shù)字簽名和欺騙瀏覽器。

黑客正在使用被破壞的代碼簽名證書來對(duì)惡意軟件進(jìn)行簽名。這反過來能夠欺騙反病毒程序，讓它們認(rèn)為惡意軟件來自一個(gè)可靠來源。反病毒程序并沒有將軟件標(biāo)記為不可信或惡意，然后一個(gè)用戶下載了它，突然，他的電腦就被感染了。

這是一個(gè)出色的游戲，但也是一個(gè)危險(xiǎn)的游戲。

什么是代碼簽名證書?

代碼簽名證書是一個(gè)數(shù)字證書，能夠讓個(gè)人開發(fā)者或企業(yè)對(duì)一個(gè)腳本或可執(zhí)行文件進(jìn)行數(shù)字簽名。數(shù)字簽名有兩個(gè)目的。首先，它允許終端用戶驗(yàn)證發(fā)布者的身份。其次，它允許終端用戶驗(yàn)證軟件是他們想要的，并沒有被篡改。

諸如谷歌安全瀏覽和微軟SmartScreen等的網(wǎng)絡(luò)過濾器，以及反病毒程序都要求對(duì)軟件進(jìn)行簽名，否則他們就會(huì)把下載的東西標(biāo)記為不可信和存在潛在安全隱患。這一警告足以使大多數(shù)終端用戶望而卻步。

代碼簽名證書遭到破壞時(shí)，會(huì)發(fā)生什么情況?

代碼簽名證書遭到破壞時(shí)，就可以用來它來對(duì)惡意軟件和愚蠢的反病毒程序等的惡意軟件進(jìn)行簽名。因?yàn)槭苄湃蔚陌l(fā)行者擁有一個(gè)數(shù)字簽名，所以程序認(rèn)為軟件肯定也是可靠的。因此，系統(tǒng)就不會(huì)發(fā)出警告，終端用戶就會(huì)下載惡意軟件。

分析了賽門鐵克在全球1100萬臺(tái)主機(jī)上收集到的現(xiàn)場(chǎng)數(shù)據(jù)后，馬里蘭大學(xué)的安全研究人員發(fā)現(xiàn)有72個(gè)證書遭到了破壞。其中一個(gè)研究人員告訴El Reg ：“這些例子中的大多數(shù)之前都并不為人所知，并且在受到這72個(gè)證書背書的惡意軟件樣本中，有三分之二仍舊有效，簽名審查也并沒有產(chǎn)生任何錯(cuò)誤。在Stuxnet之前，證書遭到破壞似乎已經(jīng)十分普遍，并且并不局限于民族國(guó)家開發(fā)的高級(jí)威脅。我們也發(fā)現(xiàn)有27個(gè)證書頒發(fā)給了偽裝成合法公司的惡意分子，他們不開發(fā)軟件，也不需要代碼簽名證書，如向一個(gè)韓國(guó)客戶交付服務(wù)。這一漏洞對(duì)34個(gè)反病毒產(chǎn)品造成了不同程度的影響，同時(shí)利用這一漏洞的惡意軟件樣本也普遍存在。”

在一些案例中，惡意軟件制作者甚至都不需要擁有一個(gè)代碼簽名證書。他們只需要復(fù)制一個(gè)數(shù)字簽名(或代碼驗(yàn)證簽名)到軟件中，這樣就足以創(chuàng)建一個(gè)無效的簽名，從而達(dá)到欺騙反病毒程序的目的。

網(wǎng)絡(luò)安全研究院和Venafi近來的一項(xiàng)研究發(fā)現(xiàn)，代碼簽名證書在暗網(wǎng)上的售價(jià)大約為1200美元。

Venafi首席安全分析師表示：“我們的研究表明，代碼簽名證書對(duì)于網(wǎng)絡(luò)犯罪分子來說是十分有利可圖的目標(biāo)。利用竊取的代碼簽名證書，企業(yè)要想檢測(cè)惡意軟件幾乎是不可能的。此外，在代碼簽名證書的價(jià)值開始降低以前，它們可以被多次出售，這從而使得黑客和暗網(wǎng)商人可以賺取大量金錢。所有這些都刺激了對(duì)被盜代碼簽名證書的需求。”

為了解決這一問題，可以采取何種措施?

這一問題需要從多個(gè)層次上進(jìn)行處理。首先，CA需要加強(qiáng)驗(yàn)證審查，以避免向并沒有開發(fā)軟件的實(shí)體頒發(fā)代碼簽名證書。一個(gè)可靠的CA應(yīng)當(dāng)能夠快速辨別出申請(qǐng)證書的公司是否可疑，而他們申請(qǐng)?jiān)撟C書是為了交付服務(wù)，如向一個(gè)韓國(guó)人提供服務(wù)——就像前面給出的例子一樣。

此外，反程序公司也需要加強(qiáng)安全防范。特別地，一個(gè)無效的簽名應(yīng)當(dāng)被認(rèn)為是沒有簽名。濫用的簽名足以騙取程序信任，在用戶下載前不發(fā)出警告，這一點(diǎn)是十分可怕的。

最后，對(duì)于其證書已經(jīng)遭到破壞的公司來說，大多數(shù)案例都可以歸結(jié)于對(duì)密鑰的更好的管理。如果你丟失了那個(gè)密鑰，你的證書就一文不值了。一個(gè)解決辦法是將密鑰存儲(chǔ)在物理硬件令牌上，而不是網(wǎng)絡(luò)上。這使得竊取密鑰變得更加困難，因?yàn)樗仨殢膶?shí)地拿取。在這種情況下，這是一個(gè)巨大優(yōu)勢(shì)?；蛘呤牵阋部梢再徺I一個(gè)擴(kuò)展驗(yàn)證(EV)代碼簽名證書。EV代碼簽名證書能夠代表頒發(fā)機(jī)構(gòu)CA進(jìn)行更廣泛的審查，并且它的密鑰也是存儲(chǔ)在物理硬件令牌上的。

關(guān)于更多代碼簽名證書服務(wù)，請(qǐng)參見https://www.bisend.cn/code-signing-ssl-certificate

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！