TrustCor Systems는 주소를 확인하지만 주소는 UPS Store입니다.

코멘트

보안 연구원, 문서 및 인터뷰에 따르면 주요 브라우저 및 기타 기술 회사가 웹사이트의 합법성을 확인하는 데 의존하는 해외 회사가 미국 법 집행 기관 및 법 집행 기관의 계약자와 접촉하고 있다고 합니다.

Google의 Chrome, Apple의 Safari, 비영리 Firefox 등을 통해 TrustCor Systems라는 회사는 루트 인증으로 알려진 작업을 수행할 수 있습니다. 이 인증은 웹사이트가 가짜가 아니라는 것을 보장하는 인터넷 시스템의 강점인 웹사이트로 사용자를 원활하게 안내하는 것입니다.

회사의 파나마 등록 기록에 따르면 회사 기록 및 회사 문서에 따르면 미국에 통신 서비스를 판매한 것으로 알려진 애리조나 기반 패킷 포렌식과 제휴한 것으로 알려진 스파이웨어 개발자와 같은 임원, 에이전트 및 파트너가 있습니다. 10년 이상 공공 부문.

TrustCor의 파트너 중 하나가 관리하는 회사와 이름이 같습니다. 저자 Raymond Saulino는 2010년 Wired 기사에서 다음과 같이 인용했습니다. 대변인 패킷 포렌식용.

2021년에 다시 등장한 사울리노 이를 시작한 다른 회사인 Global Resource Systems와의 연결과 같은 기술의 세계에 판타지가 잠깐 열리고 달렸을 때 수십 년 전에 이전에 휴면 상태였던 1억 개 이상의 주소가 펜타곤에 이양되었습니다. 오각형 그는 또한 디지털 무대를 몇 개월 후, 그리고 그 짧은 이전이 무엇인지는 아직 명확하지 않지만 연구원들은 IP 주소의 공개가 정부가 그것을 받았다는 것을 밝히지 않고 군대가 인터넷에 더 많이 액세스할 수 있게 했을 것이라고 말했습니다.

국방부는 TrustCor에 대한 논평 요청에 응답하지 않았습니다. TrustCor는 논평 요청에 응답하지 않았습니다.

트럼프가 퇴임하기 몇 분 전에 수백만 개의 국방부 IP 주소가 활성화되었습니다.

TrustCor의 제품에는 종단 간 암호화된 이메일이 포함되어 있지만 Washington Post가 인터뷰한 전문가들은 그 주장과 모순되는 증거를 찾았다고 말했습니다. ㅏ 이메일의 테스트 버전에는 Packet Forensics로 알려진 파나마 기반 회사에서 개발한 스파이웨어가 포함되어 있다고 수사관들이 말했습니다. Google은 나중에 스파이웨어가 포함된 모든 앱을 스토어에서 금지했습니다.

Packet Forensics에 정통한 사람은 TrustCor 인증서와 이메일 MsgSafe를 사용하여 통신하고 미국 정부가 의심되는 범죄자를 잡는 데 도움을 주었다고 확인했습니다.

“예, Packet Forensics가 그렇게 합니다.” 기밀 유지를 논의하기 위해 익명을 조건으로 그 사람이 말했습니다.

Packet Forensics 고문인 Kathryn Temel은 회사가 TrustCor와 비즈니스 관계가 없다고 말했습니다. 그는 그것이 이미 거기에 있는지 말하기를 거부했습니다.

최근 연구 결과는 인터넷에서 발생하는 기술 및 비즈니스 문제가 거의 공개되지 않는 정보에 의해 어떻게 영향을 받을 수 있는지 보여줍니다.

그러나 인증 기관에 대한 우려는 일찍 나타났습니다.

2019년 아랍에미리트 정부가 관리하는 보안업체 다크매터(DarkMatter)가 독립 없이 중앙기관에서 최고경영진으로 승진하기 위해 지원했다. 그 뒤를 따랐다 폭로 DarkMatter가 비평가와 다른 미국인들을 깎아내리는 것에 대해; Mozilla는 권한을 거부했습니다.

2015년 구글은 루트 권한을 제거했습니다. 제3자 관리자가 Google 사이트에서 가짜 인증서를 발급하도록 허용한 후 중국 인터넷 네트워크 정보 센터(CNNIC)의

Packet Forensics를 통해 올해 두 번이나 조사관들로부터 페이퍼 방식을 인정받았습니다. 통신 및 규정 준수 장비 판매로 가장 잘 알려진 이 회사는 4개월 가치가 460만 달러입니다. 펜타곤 계약 “데이터 처리, 호스팅 및 기타 서비스”에 대해

스파이웨어의 첫 번째 사례에서 캘거리 대학의 연구원인 조엘 리어던과 캘리포니아 버클리 대학의 세르지 에겔만은 파나마 회사인 Measurement Systems가 기록 및 전송을 위해 다양한 무고한 프로그램에 코드를 포함하도록 소프트웨어 개발자에게 비용을 지불하고 있음을 발견했습니다. 사용자의 전화번호, 이메일 주소 및 물리적 위치. 이러한 앱은 이슬람 앱의 1천만 다운로드를 포함하여 6천만 번 이상 다운로드된 것으로 추정됩니다.

측정 시스템 웹사이트는 Vostrom Holdings의 역사적 기록에 따라 등록되었습니다. 버지니아 주 기록에 따르면 Vostrom은 패킷 포렌식으로 사업을 하기 위해 2007년 문서를 제출했습니다. 주정부 문서에 따르면 측정 시스템은 Saulino에 의해 버지니아에 등록되었습니다.

연구원들이 연구 결과를 공유한 후 Google은 그는 모든 프로그램을 시작했습니다 Play 앱 스토어의 스파이 코드.

Tremel은 “이전에 Packet Forensics와 관련된 회사는 한때 Measurement Systems의 고객이었지만 소유권은 없었습니다.”라고 말했습니다.

리어던과 에겔만은 Vostrom을 자세히 살펴보았을 때 도메인 이름을 등록했음을 발견했습니다. TrustCor.co, 방문자를 TrustCor의 주요 웹사이트로 안내했습니다. TrustCor에는 측정 시스템으로 파나마 기록에 등재된 회사의 사장, 조수 및 파트너가 있습니다.

TrustCor와 Measurement Systems의 배후에 있는 회사 중 하나인 Frigate Bay Holdings와 같은 이름을 가진 회사는 지난 3월 와이오밍 주 국무장관에게 파산 신청을 했습니다. 만든 곳입니다. 이 서류에는 자신의 위치를 ​​감독으로 명시한 Saulino가 서명했습니다. 그는 논평을 받을 수 없었다.

TrustCor는 10,000개 이상의 라이선스를 발급했으며 대부분은 No-IP로 알려진 잘 알려진 도메인 이름을 가진 사이트에 대한 라이선스라고 연구원들은 말했습니다. 이 서비스를 사용하면 웹사이트가 지속적으로 변경되는 인터넷 프로토콜 주소를 가질 수 있습니다.

루트 권한이 매우 강력하기 때문에 TrustCor는 다른 사람에게 인증서를 발급할 수 있는 권한을 부여할 수도 있습니다.

웹사이트 문서는 대중에게 공개되므로 악성 콘텐츠는 가능한 한 빨리 노출되어야 합니다. 현재 TrustCor 인증서가 예를 들어 사기성 웹사이트 인증과 같이 부적절하게 사용되었다는 보고는 없습니다. 연구원들은 이 시스템이 단기간에 높은 가치의 표적에 대해서만 사용된다는 결론을 내렸습니다. Packet Forensics에 익숙한 사람이 이것이 사용되는 방식임을 확인했습니다.

Egelman은 “그들은 승인되지 않은 웹사이트와 이메일에서 암호화 키를 추출할 수 있는 매우 높은 수준의 신뢰를 가지고 있습니다.”라고 말했습니다. “이런 일이 다른 가짜 회사에서 일어나고 있다는 것이 무섭습니다.”

TrustCor 웹사이트의 리더십 페이지에는 공동 설립자로 알려진 두 사람만 나와 있습니다. 사이트에는 그렇게 나와 있지 않지만 그 중 한 명은 몇 달 전에 사망했으며 친구의 링크드인 프로필에는 그가 2019년에 CTO로 사임했다고 나와 있습니다. 그 남자는 논평을 거부했습니다.

이 사이트에는 이후 삭제된 파나마의 전화번호와 일주일 후에도 메시지가 반환되지 않은 토론토의 전화번호가 나와 있습니다. 이 사이트의 이메일 문의 양식이 작동하지 않습니다. 감사 보고서에 제공된 토론토 주소, 371 Front St. West는 UPS Store 우편물을 보관합니다.

TrustCor는 외부 감사 회사와 함께 또 다른 개인 정보 보호 계층을 추가합니다. 인터넷 회사의 보안을 감독하는 대형 회계 회사를 이용하는 대신 TrustCor는 뉴저지 주 프린스턴에 있는 집 주소를 제공하는 Princeton Audit Group이라는 회사를 선택했습니다.

TrustCor 인증서의 힘 외에도 회사는 결국 암호화 된 전자 메일이 되고자 하는 것을 제공합니다. MsgSafe.io. 그러나 수사관들은 이메일이 비공개로 유지되지 않으며 회사에서 읽을 수 있다고 밝혔습니다. 회사는 이 이메일을 감시 우려로 분류했습니다.

MsgSafe는 이에 대해 불만을 표명한 트럼프 측근을 포함하여 다양한 잠재 고객에게 보안을 보장했습니다. 팔러가 제거되었습니다 2021년 1월 앱 스토어를 통해, 그리고 Microsoft 서비스 가입이 금지된 Tutanota의 암호화된 메일 사용자에게.

회사는 “선택할 수 있는 40개 이상의 도메인으로 지금 무료 종단 간 전자 메일을 작성하면 Microsoft Teams와 함께 작업할 수 있습니다.”라고 말했습니다. 트윗 8 월.

리어돈은 전송 중에 암호화되지 않은 것으로 보이는 테스트 메시지를 MsgSafe에 게시했는데, 이는 MsgSafe가 마음대로 읽을 수 있음을 의미합니다. Egelman은 동일한 결과로 동일한 테스트를 실행했습니다.

Electronic Frontier Foundation의 암호 ​​전문가인 Jon Callas는 Post의 요청에 따라 시스템을 테스트했으며 MsgSafe는 그가 보낸 모든 것을 해독할 수 있도록 자신의 계정에 대한 비밀 암호를 만들고 저장했다고 말했습니다.

“개인 키는 최종적으로 누군가의 통제 하에 있어야 합니다.”라고 Callas는 말했습니다.

패킷 포렌식(Packet Forensics)은 12년 전에 개인 정보 보호 옹호자들의 관심을 끌기 시작했습니다.

2010년 연구원인 Chris Soghoian은 Wiretapper Ball이라는 초대 전용 업계 컨퍼런스에 참석하여 법 집행 기관 및 정보 기관 고객을 대상으로 하는 Packet Forensics 브로셔를 받았습니다.

브로셔는 소비자들이 당사자들이 안전하다고 생각하는 인터넷 트래픽의 양을 계산하는 데 도움이 되는 작은 조각이었습니다. 하지만 그렇지 않았습니다.

브로셔에는 “IP 통신을 통해 트래픽 흐름을 마음대로 모니터링할 수 있습니다.”라고 나와 있습니다. Wired에 보고됨 이것은 Saulino를 Packet Forensics의 대변인으로 잡았습니다. 브로셔는 “당신의 연구원들은 사용자가 인터넷, 이메일 또는 VOIP 암호화를 통해 잘못된 보안 의식에 빠지고 있다는 훌륭한 증거를 발견했습니다.”라고 덧붙였습니다.

브로셔는 고객에게 법원 명령의 번역 키 또는 “동등한 키”를 사용할 수 있다고 말했습니다.

연구원들은 상자를 가장 많이 사용했을 때 소셜 네트워크의 진위를 확인하는 금융 당국이나 법원 명령에 따라 발행한 인증서가 있다고 생각했습니다.

그들은 말하지 않았다 전체 인증 프로세스가 변조될 수 있습니다.

신뢰할 수 있는 인증서를 얻으려면 브라우저에 필요한 인프라와 연구를 개발하는 데 시간과 비용이 필요하다고 전문가들은 말합니다.

브라우저마다 요구 사항이 약간 다릅니다. Mozilla Firefox의 경우 이 방법은 이년 크라우드소싱과 직접 평가를 모두 포함합니다.

그러나 이 모든 것은 소유권과 의도의 비밀이 아니라 기술의 표준 조건에 초점을 맞추고 있습니다. 패킷 포렌식(Packet Forensics)에 정통한 한 관계자는 “많은 사람들이 관심을 기울이지 않는다”고 말했다.

온라인 데이터 추적기 DomainTools의 기술 담당 부사장인 Daniel Schwalbe는 “충분한 돈만 있으면 당신이나 내가 신뢰할 수 있는 인증 기관이 될 수 있습니다.”라고 말했습니다.

Mozilla는 현재 TrustCor의 3개를 포함하여 169개의 인증 기관을 인정합니다.

이 사건은 중요한 기술 회사가 자신의 의제를 가지고 제3자에게 신뢰를 주는 시스템의 문제에 대해 새로운 시각을 제공합니다.

“당신은 부트스트랩에 의존할 수 없습니다. 그것은 어딘가에서 와야 합니다.”라고 Reardon은 말했습니다. “루트 인증서의 권한은 모든 것이 있는 믿음의 원천입니다. 그리고 항상 사람, 위원회 및 의사 결정에 영향을 미치기 때문에 항상 흔들리게 됩니다.”

리어던과 에겔만은 지난 4월 구글, 모질라, 애플에 TrustCor에 대한 조사에 대해 경고했다. 그들은 조금 뒤에서 들었다고 말했다.

Google은 논평 요청에 응답하지 않았습니다.

Mozilla는 연구원의 정보를 검토한 후 추가 정보를 공개할 것이라고 말했습니다.

Leave a Comment