360 Security Lobster exposto por empacotar chaves privadas de certificados HTTPS wildcard no diretório local

Gate News notícias, a 16 de março, o produto de segurança recentemente lançado pela 360, “Camarão de Segurança”, foi descoberto contendo o certificado de domínio curinga *.myclaw.360.cn e a respetiva chave privada diretamente empacotados na pasta de instalação local. A interface do Camarão de Segurança é baseada na versão personalizada do navegador 360, acessada via https://myclaw.360.cn:19798/ endereço local. Para estabelecer essa conexão HTTPS local, os engenheiros incluíram o certificado curinga e a chave privada no cliente. Este certificado cobre todos os subdomínios de myclaw.360.cn; após a fuga da chave privada, terceiros podem falsificar conexões HTTPS nesse domínio. O certificado ainda não foi revogado. A equipe SRC da 360 respondeu que este é um problema conhecido internamente e está sendo tratado.