Интернет гигантът Google предупреди, че е разкрил нова възможност за злоупотреба в протокола за сигурност TSL, като от нея вече се е възползвала една компания. Тя е издала фалшиви сертификати, които се представят, че са издадени от сайтовете на Google, и по този начин заблуждава потребителите.

Въпросните сертификати се приемат за истински от всички водещи операционни системи и интернет браузъри, предупреждават от Google. Тестовете на интернет гиганта са показали, че единствено браузърите Chrome и Firefox не са приели сертификатите.

Те са издадени от египетската MCS Holdings, която работи с China Internet Network Information Center (CNNIC). Това е един от основните регистратори на домейни в Китай и е признат и поддържан от операционните системи и браузърите.

Google подчертава, че сертификатите са издадени без разрешението на интернет гиганта. Това представлява сериозно нарушение на правилата, които са приети в индустрията. По принцип компаниите имат право да издават подобни сертификати само за сайтове, за които могат да докажат собственост. Регистраторите пък са задължени да изискват доказателство за собственост и не трябва да издават сертификати, без то да е представено.

В случая и двете правила не са спазени. Google съобщават, че веднага след разкриването на нарушението са блокирали сертификатите на MCS и са се свързали с всички страни по въпроса. В крайна сметка се оказва, че MCS са искали сертификатите, за да следят трафика, минаващ през техен прокси сървър вътре в компанията.

Google посочва, че не разполага с данни сертификатът да е бил използван за друго. Въпреки това компанията предупреждава, че не изключва възможността други сайтове също да се окажат жертва на подобна практика и да се използват техни сертификати издадени без разрешение.