В последнее время становятся обычной практикой случаи генерации вторичных корневых сертификатов для обеспечения работы систем, направленных на транзитный перехват и расшифровку SSL-трафика, например, систем корпоративного отслеживания утечек данных. Генерируемые для подобных систем вторичные корневые сертификаты позволяют создать корректный и не вызывающий подозрения сертификат для любого сайта в сети, без привлечения удостоверяющего центра, авторизованного на выполнение подобных операций.

Mozilla публично осудила такую практику и считает действия по выдаче вторичных корневых сертификатов недопустимыми, даже если подобные сертификаты используются в закрытой сети, только для внутренних корпоративных нужд. В частности, это подрывает основной принцип сертификации - удостоверяющий центр должен являться единственным первичным звеном, полностью контролировать процесс и нести полную ответственность за все подписанные сертификаты. Поэтому нельзя допустить включение в цепочку утверждения сертификатов сторонних и неподконтрольных удостоверяющему центру компаний.

В связи с этим, Mozilla предъявила удостоверяющим центрам несколько требований:

• Отозвать все выданные сторонним лицам вторичные корневые сертификаты и уничтожить используемые для хранения этих сертификатов HSM-модули.
• Опубликовать серийные номера данных сертификатов и сигнатуры корневых сертификатов, используемых для их подписи. Подобная информация позволит Mozilla и другим заинтересованным лицам определить и блокировать все сертификаты, созданные с использованием вторичных корневых сертификатов.

Удостоверяющие центры должны выполнить данные требования до 27 апреля. Если требования не будут выполнены, Mozilla удалит из списка корневых сертификатов, поставляемого в составе своих продуктов, сертификаты удостоверяющих центров, уличённых в практике продажи вторичных корневых сертификатов. В частности, речь ведётся об удостоверяющем центре Trustwave. После удаления сертификата из списка корневых сертификатов Mozilla, все другие сертификаты, подписанные данным удостоверяющим центром, будут отображаться в Firefox как не заслуживающие доверия.

Источник: http://www.opennet.ru/opennews/art.shtml?num=33127