Cơ quan chứng thực của Brazil chỉ được Microsoft tin cậy đã cấp chứng chỉ cho google.com

• Andrew Ayeragwa14h

  • Một cơ quan chứng thực của Brazil được Microsoft tin cậy đã cấp một chứng chỉ có thể là không được ủy quyền cho google.com. Điều này có thể cho phép chặn lưu lượng truy cập đến Google trong Edge và các ứng dụng Windows khác (ngoại trừ Chrome và Firefox). Microsoft biết rõ lịch sử các vấn đề liên quan đến cơ quan chứng thực này và đã nêu quan ngại vào năm 2021, đồng thời các vấn đề bổ sung cũng được nêu ra trong cuộc thảo luận CCADB công khai năm 2022. Hy vọng sự việc này sẽ thúc đẩy thay đổi. Người dùng Windows xứng đáng nhận được dịch vụ tốt hơn.

• Andrew Ayeragwa12h

  • Một ví dụ về sự thiếu năng lực của cơ quan chứng thực này: chỉ vì chủ thể của chứng chỉ có chứa số sê-ri công ty con của Google không có nghĩa là nó đã được Google phê duyệt. Cơ quan chứng thực có thể điền bất cứ nội dung gì họ muốn vào trường đó, và cơ quan này không xác minh rõ ràng nội dung được đưa vào chứng chỉ.

• Andrew Ayeragwa10h

  • Các proxy tấn công trung gian của doanh nghiệp cực kỳ có hại.

[GN⁺]

Ý kiến Hacker News

• Có lo ngại về việc ICP-Brasil ngừng cấp chứng chỉ SSL/TLS công cộng

  • Đã có trường hợp ai đó lách lệnh cấm cấp chứng chỉ công cộng và bỏ qua quy tắc CAA của Google
  • Có ý kiến mong muốn tổ chức chứng thực này bị cấm trên hệ điều hành Microsoft

• ICP-Brasil là cơ quan chính phủ phụ trách các công việc liên quan đến chữ ký số

  • Đóng vai trò quan trọng trong việc ký hợp đồng điện tử, truy cập tờ khai thuế, v.v.

• Chrome và Firefox đã không còn tin cậy tổ chức chứng thực này

  • Việc Microsoft/Windows tin cậy một tổ chức chứng thực mà các trình duyệt lớn khác không tin cậy có vẻ là tình huống còn tệ hơn

• Có ý kiến chỉ ra các khiếm khuyết của hệ thống

  • Đã nhận ra các lỗi của hệ thống từ 15 năm trước khi sử dụng ngân hàng trực tuyến
  • Khi hỏi ngân hàng về đơn vị phát hành chứng chỉ của ngân hàng, phía ngân hàng không thể trả lời
  • Đây là một quy trình dựa trên sự thiếu hiểu biết về bảo mật và niềm tin mù quáng

• Có ý kiến rằng "Người dùng Windows xứng đáng nhận được điều tốt hơn"

  • Đề cập đến sự thờ ơ của Microsoft với người dùng và khả năng bị kiện tụng

• Có ý kiến cho rằng Microsoft thiếu minh bạch trong việc tin cậy các tổ chức chứng thực

  • Một website hợp lý nên sử dụng chứng chỉ được các trình duyệt lớn như Chrome tin cậy

• Có ý kiến thắc mắc liệu có cách nào để dùng kho tin cậy của Chrome trên Windows/Edge hay không

• Có ý kiến muốn biết danh sách các tổ chức chứng thực liên quan đến từng quốc gia

• Có ý kiến cho rằng trong bài đăng gốc vẫn chưa rõ đây là hành vi cố ý hay chỉ là sai sót

• Có ý kiến cho rằng cần một hệ thống nơi các tổ chức độc lập đưa ra mức độ tin cậy đối với các tổ chức chứng thực để người dùng có thể cân nhắc ý kiến của nhiều bên

• Có ý kiến cho rằng vấn đề là các doanh nghiệp đã trở nên quá lớn