В конце июля 2017 года Google объявила о поэтапной блокировке SSL-сертификатов группы Symantec. Мера беспрецедентная — Symantec занимает третье место в мире по выдаче SSL. Клиенты ISPsystem тоже покупали эти сертификаты через панель ISPmanager и очень обеспокоились, узнав о решении Google.Мы разобрались в ситуации и подробно расскажем, что делать владельцам SSL от Symantec.
Статья маркетолога ISPsystem Ирины Варниной впервые была опубликована на CMSmagazine.
Краткая предыстория
В марте 2017 Google обвинил Symantec в нарушении стандартов безопасности. SSL-подразделение Symantec выдало 108 ошибочных сертификатов с расширенной проверкой, сотрудники генерировали SSL для доменов без спроса их владельцев. В ответ на это Google пригрозил блокировать SSL-сертификаты удостоверяющего центра. Firefox поддержал опасения коллег из Chrome.
Несмотря на обещания Symantec устранить нарушения, в конце июля Google анонсировал последовательный план утраты доверия к сертификатам Symantec. А 2 августа стало известно, что Symantec продал бизнес по SSL компании DigiCert. Владельцы сайтов задаются вопросом: что будет с сайтом, если на нем установлен сертификат группы Symantec? В этой статье разберем план Google по полочкам и расскажем, что и когда нужно делать, если у вас сертификат Symantec.
Кого коснутся изменения
Изменения повлияют на сайты, которые используют или планируют приобрести сертификаты, выпускаемые группой Symantec. К ним относятся бренды:
— Symantec
— GeoTrust
— Thawte
— RapidSSL
Если у вас один из этих сертификатов, рекомендуем продолжить читать статью.
Важно! Не стоит паниковать сейчас. Все изменения ждут вас только в 2018 году, а значит есть время, чтобы разобраться и подготовиться.
Причем здесь Google
В Google считают, что задача компании — сделать интернет безопасным для всех. Это касается пользователей, которые совершают покупки в интернет-магазинах и вводят персональные данные. Необходимо также защищать детей от злоумышленников, жестокости и нежелательной информации. Для этого компания обучает пользователей безопасной работе в Интернете, разрабатывает инструменты для безопасности на своих сервисах и делает их доступными для других компаний. Google использует зашифрованное соединение HTTPS, и призывает других поступать также. Для этого они включили HTTPS в список параметров, по которым Google ранжирует сайты в результатах поиска.
Компания ежегодно выплачивает миллионы долларов в виде грантов и премий независимым экспертам, которые выявляют и устраняют ошибки и уязвимости в сервисах Google. Как видите, вопрос безопасности в интернете имеет для Google особую важность.
Почему Google перестал доверять Symantec
Symantec — один из крупнейших удостоверяющих центров, который выдает 14% SSL-сертификатов в мире. Несмотря на масштабы, компания не смогла гарантировать соблюдение строгих стандартов по выпуску SSL. Так, еще в 2015 году Symantec выдал сертификаты на домены без спроса владельцев. Тогда мошенники получили сертификаты на домены Google: google.com, gmail.com и gstatic.com. В январе 2017 года центр сгенерировал 108 ошибочных SSL с расширенной проверкой. К сертификатам этого уровня самые высокие требования. Нарушение этих правил Symantec могло привести к тому, что сертификаты получили мошенники. Также в марте 2017 стало известно, что 4 сторонние организации без должного контроля имеют доступ к выдаче SSL-сертификатов от имени Symantec.Все эти нарушения привели к тому, что Google и Mozilla Firefox утратят доверие к сертификатам Symantec. Это значит, что при переходе на сайты с этими SSL пользователи увидят предупреждение о небезопасном соединении.
Какой план у Google, Symantec и DigiCert
Чтобы владельцы сайтов успели обновить или заменить сертификаты, Symantec (после 1 декабря DigiCert) и Google утвердили план действий. Так выглядит график, по которому будут происходит изменения:
24 октября 2017. Выйдет stable-версия Chrome 62. Она покажет оповещения для сертификатов, которые утратят доверие в Google 66. Так вы сможете понять, затронут ли изменения ваш сертификат. Откройте в Google Chrome ваш сайт и зайдите в “Дополнительные инструменты” - “Инструменты разработчика”. Если проблемы есть, вы увидите оповещение.
1 декабря 2017. DigiCert начнет выпускать сертификаты Symantec на базе новой инфраструктуры. Google не будет считать опасными сайты с SSL, выпущенным после 1 декабря 2017 года.
15 марта 2018. Выйдет beta-версия Chrome 66. Она утратит доверие ко всем сертификатам Symantec, GeoTrust, Thawte и RapidSSL, выпущенным до 1 июня 2016. То есть начиная с beta-версии Chrome 66 пользователи будут видеть предупреждение о том, что ваш сайт небезопасен.
13 сентября 2018. Выйдет beta-версия Chrome 70. В ней утратят доверие все сертификаты, выпущенные до 1 декабря 2017 года.
Что делать владельцам сертификатов от Symantec
Итак, если ваш сертификат затрагивает утрата доверия к Symantec, вам нужно перевыпустить сертификат. Мы рекомендуем следовать определенному плану. Так вы избежите проблем с посетителями сайта, и при этом затратите минимум времени и усилий.
Если SSL был выпущен ДО 1 июня 2016 года и срок его окончания ПОСЛЕ 14 марта 2018 года.
Вам нужно перевыпустить сертификат до 15 марта 2018 года. В этот день выйдет beta-версия Google Chrome 66, и ее пользователи увидят, что ваш сайт небезопасен.
Мы рекомендуем перевыпускать такие сертификаты после 1 декабря 2017 года, лучше всего - в январе 2018. Тогда сертификаты будет выпускать DigiCert на новой инфраструктуре, и с ними не будет никаких проблем.
Важно! Если вы перевыпустите сертификат до 1 декабря, вам придется еще раз перевыпустить его до 13 сентября 2018 года. Потому что тогда потеряют доверие все сертификаты, выпущенные до 1 декабря 2017 года.
Если SSL был выпущен в период с 1 июня 2016 года по 1 декабря 2017 года и срок его окончания ПОСЛЕ 13 сентября 2018 года.
Вам нужно перевыпустить сертификат до 13 сентября 2018 года. В этот день выйдет beta-версия Google Chrome 70 и ее пользователи увидят, что ваш сайт небезопасен.
Мы рекомендуем перевыпускать такие сертификаты после 1 декабря 2017 года. Тогда сертификаты будет выпускать DigiCert на новой инфраструктуре, и с ними не будет никаких проблем.
Если сертификат заканчивается ДО 1 декабря 2017 года.
Если вам нужен сертификат на следующий период, вы можете продлить сертификат Symantec, GeoTrust, Thawte и RapidSSL и до 1 декабря 2017 года. В этом случае вам потребуется бесплатно перевыпустить его до 13 сентября 2018 года. Вы также можете купить сертификаты других брендов.
Если вы купите сертификат ПОСЛЕ 1 декабря 2017 года.
Как обещает DigiCert, эти сертификаты не нужно будет перевыпускать. Однако рекомендуем следить за новостями по этой теме на случай, если сроки запуска новой инфраструктуры сдвинутся.
Как будет происходить перевыпуск сертификатов
Перевыпуск сертификата будет бесплатным. Нужно обратиться в Symantec, если вы покупали сертификат напрямую у удостоверяющего центра, или к партнеру, у которого вы заказали SSL. Процесс абсолютно такой же, как и при покупке: нужно подтвердить право на домен и пройти проверку центра сертификации (зависит от типа сертификата). Обращаем внимание, что срок действия сертификата после перевыпуска не меняется. То есть перевыпуск делается только на оставшийся период действия сертификата.
Теперь вы знаете, как на вас влияет утрата доверия Google к сертификатам от Symantec, что и когда делать с SSL.