近期涉及SQL注入攻击暴露了Comodo合作伙伴客户数据内容备受瞩目，很多读者对此也很有兴趣，现在给大家罗列关于SQL注入攻击暴露了Comodo合作伙伴客户数据最新消息。
由于Comodo的另一个合作伙伴遭受了安全漏洞，使攻击者能够访问客户数据，因此浏览器的安全性再次成为人们关注的焦点。
总部位于巴西的ComodoBR至少是今年要折衷的第四位Comodo合作伙伴。在此事件中，攻击者使用SQL注入来访问证书签名请求并从ComodoBR数据库中公开客户信息。公开的数据文件分别于5月21日和5月22日发布在文本共享网站Pastebin的两个不同帐户下。
在SQL注入攻击中，一些数据库查询被插入到网站上，这些查询通常伪装为评论或表单中的一个字段。提交信息后，如果网站无法正确处理文本，它将允许恶意查询在数据库上执行并将结果返回给攻击者。
Comodo总裁兼首席执行官Melih Abdulhayoglu告诉The Register Comodo系统从未遭到破坏。他还说，由于违反，没有颁发任何证书，并且经销商无法访问Comodo数据库。
“因此，作为总结：这是对销售我们某些产品的巴西公司的一种SQL攻击(相当普遍)。” 他在一封电子邮件中写道。“没有什么要报告的。”
客户信息包括姓名，地址，电子邮件，传真，电话号码，订单号，域名和证书申请。客户使用的Web服务器的类型，Web服务器的序列号和私钥文件名也被泄露。还公开了属于ComodoBR员工的电子邮件地址，用户ID和密码信息。
尽管证书本身不包含攻击者可能滥用的任何信息，但属于ComodoBR员工的登录凭据仍然处于危险之中。尽管密码都经过了哈希处理，但它们似乎未加盐并使用MD5加密，这已被证明很容易破解。
3月份，意大利的Comodo经销商受到SQL注入攻击的袭击，其登录凭据被盗。一名黑客声称对这次攻击负责，在此期间，他伪造了Google，Yahoo，Skype和Microsoft的主要域的伪造SSL(安全套接字层)证书。Comodo足够快地检测到漏洞，可以在证书可以使用之前将其吊销。由于伪造的证书已经使用Comodo的根签名密钥进行了签名，因此它们可以被用来拦截和破坏试图访问这些站点的用户。
欧洲的另外两个Comodo注册机构受到威胁后，Comodo撤销了所有合作伙伴的签名特权，并实施了强制性的两因素身份验证系统来处理证书申请。
mozilla.dev.security.policy邮件组中的开发人员将最新事件称为证书颁发机构的“面对面”时刻。但是，StartCom和StartSSL的创始人，首席运营官兼首席技术官Eddy Nigg在邮件列表中写道，攻击者可能能够更改数据库本身中的内容，这实际上可能会触发与实际站点不同的其他站点的新证书。经过验证。
3月事件使人们对证书验证过程产生严重怀疑，该过程主要依赖于信任。主要的浏览器制造商正在重新研究如何处理Web身份验证和调查机制以保护证书颁发机构。每个浏览器均等地信任多达321个证书颁发机构，如果其中任何一个曾经决定为不使用它们的网站发布伪造证书，这将成为一个安全噩梦。
电子前沿基金会高级职员技术专家彼得·埃克斯利说，一种提高安全性的方法是允许每个网站宣布正在使用的证书提供商。
包括Comodo在内的各种组织正在研究一种机制，该机制允许域所有者指定哪个证书颁发机构有权为该站点颁发SSL密钥。在该系统下，如果网站返回的证书与域所有者指定的证书不同，则浏览器将知道该证书是欺诈性的。
所有建议仍处于讨论阶段，使当前系统易受攻击。
