360 Security Lobster exposé révèle l'empaquetage de la clé privée du certificat HTTPS wildcard dans un répertoire local

Gate News rapporte que, le 16 mars, le produit de sécurité récemment lancé par 360, appelé « Crabe de sécurité », a été découvert contenant directement dans le répertoire d’installation local le certificat wildcard *.myclaw.360.cn ainsi que la clé privée correspondante. L’interface de Crabe de sécurité est basée sur une version personnalisée du navigateur 360, accessible via l’adresse locale https://myclaw.360.cn:19798/. Afin de réaliser cette connexion HTTPS locale, les ingénieurs ont intégré le certificat wildcard et la clé privée dans le client. Ce certificat wildcard couvre tous les sous-domaines de myclaw.360.cn. En cas de fuite de la clé privée, un tiers pourrait falsifier la connexion HTTPS cryptée sous ce domaine. Le certificat n’a pas encore été révoqué. L’équipe SRC de 360 a répondu que ce problème était connu en interne et qu’il était en cours de traitement.