Sembra che il tuo problema sia che questa vulnerabilità è più grande di quanto sai cosa farsene.

Le regole della divulgazione responsabile, come descritto qui, dicono che dovresti contattare il fornitore e negoziare un periodo di tempo - tra 1 settimana e 6 mesi, a seconda della profondità delle modifiche richieste - in cui può implementare una patch, revocare e riemettere certificati, pubblicare bollettini sulla sicurezza, ecc., prima di andare pubblico con le tue scoperte. L'intenzione è che alla fine del periodo negoziato tu ottenga il tuo riconoscimento pubblico, ma il tuo diventare pubblico non può più fare del male, se il venditore ha svolto correttamente il proprio lavoro.

contattarli / negoziare un periodo di divulgazione responsabile, rendere pubblici i risultati alla fine, ecc., è troppo grande per te, o non sai come iniziare, quindi suggerisco di contattare e collaborare con un noto ricercatore di sicurezza che ha già stabilito canali di pubblicazione. Trova un nome importante che ha già pubblicato vulnerabilità simili e chiamalo! Sembra che non avrai problemi ad attirare la loro attenzione.

Inoltre congratulazioni! Non vedo l'ora di vedere il tuo nome su un foglio tra 6 mesi!

Tale affermazione è generalmente piuttosto seria.

Sebbene contattare il fornitore in questione sia una questione responsabile, dovresti sicuramente considerare di notificare i team di sicurezza del root store pertinenti, poiché sono responsabili della progettazione, valutare e applicare i controlli di sicurezza per evitare che ciò accada, e probabilmente dovrà collaborare direttamente con la CA per accertare i problemi.

In termini di divulgazione responsabile, dovresti anche segnalarlo immediatamente a ciascuna delle principali fonti gestori di negozi: Google, Microsoft, Apple, Mozilla. Cerca semplicemente " <vendor> report security bug" e il primo risultato te lo dirà. Questi sono solo alcuni dei fornitori interessati, ad es. non solo la CA.

Se non sei sicuro di come farlo, desideri rimanere anonimo o hai bisogno di assistenza per il coordinamento, il team di sicurezza di Chromium sarà lieto di indagare, contattare la CA appropriata e coordinarsi con il industria più ampia. Vedi https://www.chromium.org/Home/chromium-security/reporting-security-bugs per i dettagli.

Congratulazioni! Sembra una scoperta importante.

Innanzitutto, genera una prova. Il certificato SSL github.com sembra un ottimo inizio. Assicurati di conservare tutte le tracce di rete di cui hai bisogno per mostrare esattamente cosa è successo.

Devi determinare se hai infranto qualche legge o T&C mentre lo facevi. Se la CA non ha un bug bounty, quasi sicuramente l'hai fatto. In tal caso, è importante che tu rimanga anonimo. Una preoccupazione qui è che potresti aver già rivelato la tua identità durante il test. Ad esempio, probabilmente hai dovuto pagare per quel certificato; come hai effettuato il pagamento? Se hai già infranto la legge in modo non anonimo, questo praticamente esclude qualsiasi tattica del braccio forte contro la CA.

Anche se è lodevole che tu voglia entrare in contatto con la CA, tieni duro tieni presente che hai la possibilità di vendere questa vulnerabilità. Questo potrebbe potenzialmente valere $ 100.000 da un'organizzazione come vupen. Sta a te come ti senti a riguardo.

Se vuoi rivelare, potresti farlo da solo, ma sono d'accordo con la raccomandazione di Mike di contattare un ricercatore affermato. Penso che potresti puntare un po 'più in alto di un ricercatore universitario. Una celebrità come Bruce Schnier o Dan Kaminsky sarebbe interessata a questo. Dovresti fidarti di loro con i dettagli e usare il loro peso per prendere sul serio il problema.

Per quanto riguarda CloudFlare che ottiene una visione anticipata di HeartBleed, questa è una pratica standard per le principali vulnerabilità: i fornitori chiave ottengono un allerta precoce. Ma questo avviene molto più tardi nel processo. Nel caso di HeartBleed, dopo che le patch erano state sviluppate (ma non rilasciate pubblicamente). Non sono sicuro di come ciò si applicherebbe a questa vulnerabilità. Sembra che ogni certificato emesso dalla CA sia ora sospetto.

Qualunque cosa tu scelga di fare, buona fortuna!

In caso di dubbi, puoi anche contattare il CERT: https://forms.cert.org/VulReport/

Hanno esperienza nell'affrontare vulnerabilità di sicurezza anche molto gravi, e sono generalmente considerati una parte fidata. Almeno possono confermare che la tua valutazione della vulnerabilità è corretta e documentare la tua parte nel trovarla.

Anche se il CERT generalmente ti consiglia di contattare personalmente il fornitore, per un caso importante come questo sono sicuro offrirebbero assistenza.

Ryan Sleevi ha ottimi consigli in merito.

Prima di far suonare troppi allarmi, contatterei il team di sicurezza di Chromium come ha consigliato, solo per assicurarmi che tu non fraintenda nulla.

Hai verificato la tua vulnerabilità rispetto ai requisiti di base del forum CAB per vedere se l'esecuzione della tua vulnerabilità infrange queste regole: https://cabforum.org/baseline-requirements-documents/ ?

Ad esempio, conosco una pratica di emissione che sembra corrispondere al tuo riepilogo, ma AFAIK è totalmente valido e non una vulnerabilità agli occhi del CAB Forum. È possibile generare un certificato per un sottodominio senza avere il controllo sulla radice. Cioè puoi ottenere un certificato per test.google.com senza dover dimostrare il controllo su google.com.

Ti consiglio di ottenere la documentazione e la dimostrazione della vulnerabilità man mano che ne sei consapevole. Idealmente se puoi farlo verificare interamente da una terza parte, che è stata letta nella situazione.

Per evitare problemi di integrità o ripudio da parte del fornitore dei consigli sulla vulnerabilità nei tuoi confronti, è necessaria una prova aggiuntiva tramite dimostrazione / esecuzione. Dal momento che stiamo prendendo un certificato correlato, l'acquisizione di una catena di certificati che dimostri un errore sarebbe l'ideale. Ovviamente qualsiasi cattura di sessione che mostra il vuln in azione è utile.

Senza rivelazione completa, sto solo indovinando di quale prova hai bisogno comunque. Prendi la prova della documentazione dell'exploit e avvia il seed in posizioni pubblicamente visibili come GitHub, Pastebin, elenchi di posta elettronica. Questo blocca l'incapacità di ripudiare se le tue prove sono forti.

Il problema rimanente è l'identità e la comunicazione con il venditore e il pubblico. Non mi prenderò la briga di rifiutare la rivelazione della tua identità personale, dipende da te. Comunicazioni, se vuoi essere pratico e preparato a sbagliare o non agire con esperienza nel caso in cui dica che l'intera cosa esplode o va di lato, puoi fare il contatto.

In alternativa, cerca una rappresentanza, dalla comunità, da EFF o per lo meno dal tuo avvocato. È consigliabile che qualcuno protegga i tuoi interessi e rifletta attentamente prima di accettare l'aiuto dell'industria da parte di un'azienda nella sua capacità commerciale. Sono sicuro che la comunità qui può consigliare alcune scelte sulla rappresentazione se solleciti tale consiglio.

Si potrebbe scrivere un intero libro su questo insieme di argomenti, ho cercato di mantenerlo breve e fuori dai TLDR; territorio.

Inoltre in una nota a margine, grazie per il tempo che hai dedicato alla scoperta di questa potenziale vulnerabilità. È assolutamente necessario.

I fornitori di sistemi operativi e browser potrebbero essere un buon posto per segnalare una vulnerabilità di questo tipo poiché gestiscono gli elenchi di CA radice. Di seguito sono riportati alcuni link rilevanti:

• www.google.com/about/appsecurity/
• www.mozilla.org/en-US/about/governance/policies/ security-group / bugs /
• www.apple.com/support/security/
• technet.microsoft.com/en-us/security/ff852094.aspx

Puoi anche segnalarlo a "questions@cabforum.org" ma renditi conto che se la CA in questione è un membro del forum CA / B, lo vedranno anche loro. Tuttavia, lo saranno anche tutti gli altri membri della CA e del browser. Un'altra opzione è segnalarlo al CA Security Council, un'organizzazione degli 8 maggiori emittenti SSL pubblici al mondo. Questo è un gruppo industriale che ha interesse a sostenere standard elevati per i suoi membri, nonché a promuovere le migliori pratiche tra tutte le CA. Il modulo è qui: https://casecurity.org/contact-us/