Comodo отзывает сертификаты без причины

Могли ли вы представить себе, что крупная компания будет заниматься обманом своих клиентов, особенно если эта компания позиционирует себя гарантом безопасности? Вот и я не мог до недавнего времени. Эта статья — предостережение, чтобы вы сначала десять раз подумали, перед тем как покупать сертификат для подписи кода у Comodo.

По долгу своей работы (системное администрирование) я делаю разные полезные программы, которые активно использую в своей же работе, а заодно бесплатно выкладываю для всех желающих. Около трёх лет назад назрела необходимость подписывать программы, иначе не все мои клиенты и пользователи могли без проблем загружать их только из-за того, что они не подписаны. Уже давно подпись является нормальной практикой и не важно, насколько безопасна программа, но если она не подписана, к ней обязательно будет повышенное внимание:

1. Браузер собирает статистику, как часто загружается файл, и когда он не подписан, то на начальном этапе он может даже блокироваться «на всякий случай» и требовать от пользователя явное подтверждение на сохранение. Алгоритмы бывают разные, иногда и домен считается доверенным, но в целом именно валидная подпись является подтверждением безопасности.
2. После загрузки файл смотрит антивирус и непосредственно перед запуском сама ОС. Для антивирусов подпись тоже является немаловажной, это легко проследить на virustotal, а что касается ОС, начиная с Win10 файл с отозванным сертификатом сразу блокируется и его нельзя запустить из проводника. К тому же, в некоторых организациях вообще запрещён запуск неподписанного кода (настраивается средствами системы), и это оправданно — все нормальные разработчики давно позаботились о том, чтобы их программы можно было проверить без дополнительных усилий.

В целом, направление выбрано правильное — по мере возможностей делать интернет как можно более безопасным для неопытных пользователей. Однако сама реализация пока далека от идеала. Простой разработчик не может просто получить сертификат, его нужно покупать у компаний, которые монополизировали этот рынок и диктуют на нём свои условия. Но что если программы бесплатные? Это никого не волнует. Тогда у разработчика появляется выбор — постоянно доказывать безопасность своих программ, жертвуя удобством пользователей, или покупать сертификат. Три года назад выгодным был StartCom, который сейчас обитает на дне океана, с ними никогда не было проблем. На данный момент минимальную цену предоставляет Comodo, но, как оказалось, есть подвох — для них разработчик буквально никто и кинуть его — нормальная практика.

Спустя почти год использования сертификата, который я покупал в середине 2018-го, внезапно, без предварительного уведомления по почте или телефону, Comodo отозвала его без объяснения причин. Техподдержка у них работает плохо — могут не отвечать неделю, однако основную причину всё же удалось узнать — они посчитали, что выданным сертификатом было подписано вредоносное ПО. И на том историю можно было бы заканчивать, если бы не одно но — я никогда не создавал вредоносное ПО, а собственные методы защиты позволяют утверждать, что и украсть закрытый ключ у меня невозможно. Копия ключа есть только у Comodo, потому что они выдают их без CSR. А дальше — почти две недели безуспешных попыток узнать элементарное доказательство. Компания, которая якобы гарантирует защиту в сфере безопасности, наотрез отказалась предоставлять доказательство нарушения их правил.


Такой результат не единичный, всё время переговоров в чате в лучшем случае отвечают одно и то же, на тикеты либо не отвечают совсем, либо ответы настолько же бесполезные.


Надежда на то, что мне ответит не обезьяна, окончательно пропадает. Интересная вырисовывается схема:

1. Продаём сертификат.
2. Ждём больше полугода, чтобы через PayPal нельзя было открыть спор.
3. Отзываем и ждём следующий заказ. Профит!

Поскольку у меня нет на них других методов воздействия, я могу только придать их мошенничество огласке. Покупая сертификат у Comodo, они же Sectigo, вы можете столкнуться с такой же ситуацией.