Недоверие к Symantec PKI: владельцам сайтов необходимо принять срочные меры

Среда, 4 апреля 2018 г.

Перепубликовано из
Google Security Blog.

Мы
ранее объявили
о планах прекратить поддержку доверия Chrome к центру сертификации Symantec (включая бренды, принадлежащие Symantec, такие как Thawte, VeriSign, Equifax, GeoTrust и RapidSSL). В этой статье описывается, как владельцы сайтов могут определить, затронуты ли они этим прекращением поддержки, и если да, то что и к каким срокам необходимо сделать. Невыполнение требования по замене этих сертификатов приведет к сбоям в работе сайтов в будущих версиях основных браузеров, включая Chrome.

Chrome 66

Если ваш сайт использует SSL/TLS-сертификат от Symantec, выданный до 1 июня 2016 года, он перестанет работать в Chrome 66, что уже может затронуть ваших пользователей.

Если вы не уверены, использует ли ваш сайт такой сертификат, вы можете предварительно просмотреть эти изменения в
Chrome Canary , чтобы
узнать, затронут ли ваш сайт. Если при подключении к вашему сайту отображается ошибка сертификата или предупреждение в DevTools, как показано ниже, вам потребуется заменить сертификат. Вы можете получить новый сертификат у любогодоверенного ЦС

Сообщение в DevTools, которое вы увидите, если вам нужно заменить сертификат до выхода Chrome 66. Chrome 66 уже выпущен в каналах Canary и Dev, а это значит, что затронутые сайты уже влияют на пользователей этих каналов Chrome. Если владельцы затронутых сайтов не заменят свои сертификаты до15 марта 2018 г.

, пользователи Chrome Beta также начнут сталкиваться со сбоями. Настоятельно рекомендуется как можно скорее заменить сертификат, если в настоящее время ваш сайт отображает ошибку в Chrome Canary.

Chrome 70

Сообщение в DevTools, объясняющее, что вам нужно заменить сертификат до выхода Chrome 70. Если вы видите это сообщение в DevTools, вам следует заменить сертификат как можно скорее. Если сертификаты не будут заменены, пользователи начнут видеть ошибки сертификатов на вашем сайте уже с20 июля 2018 г.

. Первый выпуск беты Chrome 70 состоится примерно 13 сентября 2018 года.

Ожидаемый график выпуска релизов Chrome

~ 16 октября 2018 г.
Для получения информации о графике релизов определенной версии Chrome вы также можете обратиться к
Chromium Development Calendar

который будет обновляться в случае изменения графиков выпуска.

Чтобы удовлетворить потребности некоторых корпоративных пользователей, в Chrome также будет реализована корпоративная политика, позволяющая отключить недоверие к устаревшей инфраструктуре Symantec PKI начиная с Chrome 66. С 1 января 2019 года эта политика больше не будет доступна, и устаревшая инфраструктура Symantec PKI будет считаться ненадежной для всех пользователей.

Особое упоминание: Chrome 65
Как отмечалось впредыдущем объявлении

, SSL/TLS-сертификаты из устаревшего хранилища Symantec PKI, выданные после 1 декабря 2017 года, больше не являются доверенными. Это не должно затронуть большинство владельцев сайтов, так как для получения таких сертификатов требуется заключение специального соглашения с DigiCert. Доступ к сайту, использующему такой сертификат, завершится ошибкой, и запрос будет заблокирован начиная с Chrome 65. Во избежание подобных ошибок убедитесь, что такие сертификаты предоставляются только устаревшим устройствам, а не таким браузерам, как Chrome.