近期涉及SQL注入攻擊暴露了Comodo合作夥伴客戶數據內容備受矚目，很多讀者對此也很有興趣，現在給大家羅列關於SQL注入攻擊暴露了Comodo合作夥伴客戶數據最新消息。
由於Comodo的另一個合作夥伴遭受了安全漏洞，使攻擊者能夠訪問客戶數據，因此瀏覽器的安全性再次成為人們關注的焦點。
總部位於巴西的ComodoBR至少是今年要折衷的第四位Comodo合作夥伴。在此事件中，攻擊者使用SQL注入來訪問證書籤名請求並從ComodoBR資料庫中公開客戶信息。公開的數據文件分別於5月21日和5月22日發布在文本共享網站Pastebin的兩個不同帳戶下。
在SQL注入攻擊中，一些資料庫查詢被插入到網站上，這些查詢通常偽裝為評論或表單中的一個欄位。提交信息後，如果網站無法正確處理文本，它將允許惡意查詢在資料庫上執行並將結果返回給攻擊者。
Comodo總裁兼執行長Melih Abdulhayoglu告訴The Register Comodo系統從未遭到破壞。他還說，由於違反，沒有頒發任何證書，並且經銷商無法訪問Comodo資料庫。
「因此，作為總結：這是對銷售我們某些產品的巴西公司的一種SQL攻擊(相當普遍)。」 他在一封電子郵件中寫道。「沒有什麼要報告的。」
客戶信息包括姓名，地址，電子郵件，傳真，電話號碼，訂單號，域名和證書申請。客戶使用的Web伺服器的類型，Web伺服器的序列號和私鑰文件名也被洩露。還公開了屬於ComodoBR員工的電子郵件地址，用戶ID和密碼信息。
儘管證書本身不包含攻擊者可能濫用的任何信息，但屬於ComodoBR員工的登錄憑據仍然處於危險之中。儘管密碼都經過了哈希處理，但它們似乎未加鹽並使用MD5加密，這已被證明很容易破解。
3月份，義大利的Comodo經銷商受到SQL注入攻擊的襲擊，其登錄憑據被盜。一名黑客聲稱對這次攻擊負責，在此期間，他偽造了Google，Yahoo，Skype和Microsoft的主要域的偽造SSL(安全套接字層)證書。Comodo足夠快地檢測到漏洞，可以在證書可以使用之前將其吊銷。由於偽造的證書已經使用Comodo的根籤名密鑰進行了籤名，因此它們可以被用來攔截和破壞試圖訪問這些站點的用戶。
歐洲的另外兩個Comodo註冊機構受到威脅後，Comodo撤銷了所有合作夥伴的籤名特權，並實施了強制性的兩因素身份驗證系統來處理證書申請。
mozilla.dev.security.policy郵件組中的開發人員將最新事件稱為證書頒發機構的「面對面」時刻。但是，StartCom和StartSSL的創始人，營運長兼首席技術官Eddy Nigg在郵件列表中寫道，攻擊者可能能夠更改資料庫本身中的內容，這實際上可能會觸發與實際站點不同的其他站點的新證書。經過驗證。
3月事件使人們對證書驗證過程產生嚴重懷疑，該過程主要依賴於信任。主要的瀏覽器製造商正在重新研究如何處理Web身份驗證和調查機制以保護證書頒發機構。每個瀏覽器均等地信任多達321個證書頒發機構，如果其中任何一個曾經決定為不使用它們的網站發布偽造證書，這將成為一個安全噩夢。
電子前沿基金會高級職員技術專家彼得·埃克斯利說，一種提高安全性的方法是允許每個網站宣布正在使用的證書提供商。
包括Comodo在內的各種組織正在研究一種機制，該機制允許域所有者指定哪個證書頒發機構有權為該站點頒發SSL密鑰。在該系統下，如果網站返回的證書與域所有者指定的證書不同，則瀏覽器將知道該證書是欺詐性的。
所有建議仍處於討論階段，使當前系統易受攻擊。