📩 Email-доступ = TLS-сертификат. Что пошло не так в SSL[.]com

В SSL[.]com нашли уязвимость: сертификаты можно было получить, имея email на любом домене. Достаточно было контролировать почтовый ящик — и можно было запросить TLS-сертификат даже для gmail[.]com.

Ошибка валидации через DNS TXT: система принимала домен из почты (например, @gmail[.]com) как подтверждение владения самим доменом (gmail[.]com), даже если сертификат запрашивался на другой адрес.

Это ставит под сомнение саму модель доверия к email и DNS в сертификационной цепочке. Если такой баг не заметили раньше, стоит спросить: кто ещё из ЦС проверяет так же?

#tlsсертификаты #dnsвалидация #инфраструктурадоверия

@SecLabNews