ximaera 14 окт 2016 в 05:24

Из-за проблем у GlobalSign ряд HTTPS-сайтов будет частично недоступен следующие 4 дня

5 мин

23K

Информационная безопасность*

+31

Комментарии 22

Chupakabra303 14 окт 2016 в 10:40

Спасибо за обзор. Вы прямо по полочкам разложили наши с коллегой мысли, когда мы вчера бились над «отозванным» сертификатом для сайта.

ximaera 14 окт 2016 в 11:00

Разложил ваши мысли — с точностью до использования ненормативной лексики, я полагаю :-)

RootPass 14 окт 2016 в 11:11

Теперь на крупные нагруженные проекты помимо всего прочего нужно добавлять запасной кластер с SSL. Мы устранили сбой за 30 минут, путем смены центра сертификации, благо были предупреждения на координатные изменения в трафике, из-за проблем проседание трафика было на 20%

НЛО прилетело и опубликовало эту надпись здесь

RootPass 14 окт 2016 в 11:03

Пока писал свое послание, вы опередили. Читайте комментарий — https://geektimes.ru/post/281468/#comment_9628642, с юристом сегодня разбирали проблему.

ximaera 14 окт 2016 в 11:06

Сомневаюсь, но даже если так, их ответственность ограничивается сверху суммой $1000 за DV-сертификат или $2000 за EV (см. п. 6.0).

RootPass 14 окт 2016 в 11:01

Самое интересное то, что за эту ошибку никто не отвечает. У GlobalSign в договоре прописано:

НИ ПРИ КАКИХ ОБСТОЯТЕЛЬСТВАХ КОМПАНИЯ «GLOBALSIGN» НЕ НЕСЕТ ОТВЕТСТВЕННОСТИ ЗА КАКОЙ-ЛИБО КОСВЕННЫЙ УЩЕРБ, НЕПРЕДНАМЕРЕННЫЙ УЩЕРБ, ФАКТИЧЕСКИЙ УЩЕРБ, ОПРЕДЕЛЯЕМЫЙ ОСОБЫМИ ОБСТОЯТЕЛЬСТВАМИ, ИЛИ ПОСЛЕДУЮЩИЙ УЩЕРБ, ВОЗНИКАЮЩИЙ ИЗ ИЛИ В СВЯЗИ С ИСПОЛЬЗОВАНИЕМ, ПРЕДОСТАВЛЕНИЕМ, ПОЛАГАНИЕМ, ЛИЦЕНЗИРОВАНИЕМ, ИСПОЛНЕНИЕМ ИЛИ НЕИСПОЛНЕНИЕМ ТРАНЗАКЦИЙ С ИСПОЛЬЗОВАНИЕМ СЕРТИФИКАТОВ, ЭЛЕКТРОННЫХ ПОДПИСЕЙ, ИЛИ ПРОЧИМИ ТРАНЗАКЦИЯМИ ИЛИ УСЛУГАМИ, ПРЕДЛАГАЕМЫМИ ИЛИ ПОДРАЗУМЕВАЕМЫМИ В ЭТИХ ПОЛОЖЕНИЯМ О ПРАВИЛАХ СЕРТИФИКАЦИИ КОМПАНИИ «GLOBALSIGN».

И реселер соответственно на себя не берет ответственность. В сухом остатке: был причинен ущерб сервису, а заплатят за это только владельцы.

ximaera 14 окт 2016 в 11:09

Немного не так, там ещё есть фраза:

«TO THE EXTENT GLOBALSIGN HAS ISSUED AND MANAGED THE CERTIFICATE IN ACCORDANCE WITH THE BASELINE REQUIREMENTS AND THE CPS, GLOBALSIGN SHALL NOT BE LIABLE TO THE SUBSCRIBER, RELYING PARTY OR ANY THIRD PARTIES FOR ANY LOSSES SUFFERED AS A RESULT OF USE OR RELIANCE ON SUCH CERTIFICATE. OTHERWISE, GLOBALSIGN’S LIABILITY TO THE SUBSCRIBER, RELYING PARTY OR ANY THIRD PARTIES FOR ANY SUCH LOSSES SHALL IN NO EVENT EXCEED ONE THOUSAND DOLLARS ($1,000) PER CERTIFICATE»

Выделенное жирным условие очевидным образом было нарушено, так что можете претендовать на $1000. Или на $2000, если у вас EV-сертификат.

А потери бизнеса, да, не компенсируют. Впрочем, даже если бы были обязаны, всё равно бы не смогли, скорее всего.

RootPass 14 окт 2016 в 11:19

По убыткам вообще все сложно. Есть прямые и косвенные. Например, у нас вчера «отвалился» крупный клиент с демо-периода, т.к. была проблема. Клиента, конечно, не волновало, что проблема не наша, мы должны были предвидеть. Но как…

НЛО прилетело и опубликовало эту надпись здесь

ximaera 14 окт 2016 в 11:32

Да, обидно, конечно.

Самое неприятное, что инструмента, который бы позволял оперативно отслеживать инциденты подобного уровня, нет. У Cloudflare большая распределённая сеть, и средство мониторинга, способное поймать проблему с кэшами на отдельных нодах, должно быть как минимум топологически распределено не хуже. Кроме того, оно должно уметь ходить из каждой точки в CRL и OCSP. Насколько я в курсе, до сего дня два этих свойства никогда не встречались в одном решении совместно.

mayorovp 14 окт 2016 в 12:36

А самое обидное — что если бы подобное средство существовало, именно оно бы и спровоцировало проблему для всех тех сайтов, которым сейчас повезло.

ximaera 14 окт 2016 в 17:16

Но оно бы, по крайней мере, сообщило о характере проблемы. Предупреждён — значит, вооружен.

А сейчас вышло так, что множество компаний просто столкнулись с неведомой проклятой ерундой: всё работает, загрузка CPU и памяти ниже среднего, все системы мониторинга рапортуют об отсутствии проблем в сети, а меж тем в прайм-тайм трафик упал на 10-30% и не восстанавливается. Я знаю людей, которые только через пару часов сумели хотя бы понять, с чем связана проблема.

При этом, если понимать, в чём проблема, то исправление занимает до получаса в большинстве случаев. Если у вас не EV, конечно, тогда всё плохо.

ximaera 14 окт 2016 в 11:31

Ссылка на heartbeat-страницу GlobalSign, где можно отслеживать текущее состояние этой и других проблем:

GlobalSign System Alerts

ivan19631224 14 окт 2016 в 11:40

> Утром 14 октября в процесс отзыва кросс-подписей вкралась ошибка.
Я так и не понял, что именно за ошибка? И как она могла возникнуть? Какого-то рода ручной ввод некорректных данных?

ximaera 14 окт 2016 в 11:51

Пока полного заявления от GlobalSign о том, какие именно действия производились, нет.

Лично у меня есть следующее предположение. Насколько я вижу, все affected intermediate-сертификаты были выпущены в 2014-2015 годах. Я полагаю, что кто-то из сотрудников GlobalSign отозвал кросс-подпись старых сертификатов, выведенных из эксплуатации. Однако, так как новые сертификаты были выпущены для тех же ключей шифрования, что и старые, отзыв затронул и их. То есть да, это человеческий фактор.

Но давайте всё же дождёмся описания от самого CA.

mayorovp 14 окт 2016 в 12:44

Разве отзываются ключи, а не сертификаты?

ximaera 14 окт 2016 в 16:06

Отзываются сертификаты, конечно же. Но, возможно, сотрудник GlobalSign ориентировался на модуль ключа и перепутал сертификаты.

В общем, если бы эта ошибка была бы очевидной, она бы, очевидно, не была допущена :-)