מכרזים

העולם הקשוח של הסרטיפיקטים באינטרנט

תעודות דיגיטליים (סרטיפיקטים) הם "תו הסגול" שנדרש לכל אתר אינטרנט. סמל המנעול הקטן, המופיע בסרגל הכתובות של הדפדפן, אמור לתת לנו תחושה נוחה שהכל מאובטח, הכל סבבה, שהביקור שלנו באתר האינטרנט הספציפי מוצפן, בטוח

ופרטי. שלוש חברות המנפיקות סרטיפיקטים שולטות על 87% משוק הסרטיפיקטים. הכללים והמדיניות להנפקת סרטיפיקטים מוכתבים על ידי פורום CA / B,שהוא פורום  פעיל מאוד.

בתחילת יולי 2020 הודיעה חברת Digicert כי היא נאלצת לבטל 50,000 סרטיפיקטים EV (extended validation), מכיוון שהם "לא נבדקו כראוי." מעל 19,000 אישורי EV אלה שייכים לשירותי הסרטיפיקטים של GÉANT, הנקרא GÉANT TRUSTED CERTIFICATE SERVICE. חלק מהמדינות החברות ב-GÉANT   היו צריכות להחליף מעל 4,200 סרטיפיקטים. אחד האתרים שנפגעו היה כור גרעיני, אחד משלושה כורים בלבד ברחבי העולם המייצרים נפחים גבוהים של רדיואיזוטופים רפואיים. אתר אחר היה אתר שמרכז את התפזרות חולי  Covid-19 בתוך בתי חולים ומיטות טיפול נמרץ. בישראל נאלצה אוניברסיטת בן גוריון בנגב להחליף 125 סרטיפיקטים בתוך 5 ימים.

הבעיה היא שתקנות פורום  CA / B חייבו לבטל את כל 50,000 הסרטיפיקטים ה-EV תוך 5 ימים – ללא יוצאי מן הכלל. אם רשות סרטיפיקטים כמו Digicert מבקשת הארכה קלה, הם מסתכנים בזעמם של "אדוני הדפדפנים" שיכולים לבטל את כל הסרטיפיקטים שהנפיקה חברת  Digicert לחלוטין מ-Firefox, Chrome,  ו-Opera – דבר שיגרום לפשיטת רגל של Digicert. בשנת 2018,  Symnatec  נאלצה למכור את שירות הסרטיפיקטים שלה ל- Digicert לאחר שהיא "הפקידה בכמה ארגונים את היכולת להנפיק תעודות ללא פיקוח מתאים או הכרחי, והייתה מודעת לחסרים ביטחוניים בארגונים אלה במשך זמן מה." זו הייתה הפרה ביטחונית גדולה שהצדיקה תגובה דרסטית כזו. אך למרבה הצער, פורום ה- CA / B רואה בעיות קטנות ומינוריות באור זהה לגדולות. לדוגמא, סוגיות קטנות כמו איות שגוי של שם מחוז כמו Issy-les-Molineaux במקום Issy-les-Moulineaux, או הקלדת שדה העיר הלא נכון כמו “East Oakleigh” במקום השם הרשמי הנכון “Oakleigh East”.

המיישמים של פסקי פורום ה- CA / B נוטים לרוב להיות קפדניים ודרקוניים. לרוע המזל, פורום ה- CA / B  מורכב רק ממעט יותר מ- 50 חברים – שאין ביניהם מי שמייצג את דעותיהם של משתמשי הקצה. הפורום מורכב אך ורק מנציגים רשויות הסרטיפיקטים (CA)  וספקי הדפדפנים. אולי הגיע הזמן שמשתמשי הקצה הגדולים של סרטיפיקטים ישמיעו את קולם בפורום ה- CA / B?