Австралійський підприємець Нік Кубрілович (Nik Cubrilovic), який минулого року привернув увагу до проблем кук на Facebook, першим виявив проблеми з сертифікатами і опублікував повідомлення про це у своєму блозі. Він закликав користувачів утриматися від скачування Axis, поки не будуть доступні подробиці.
Кубрілович переглянув програмний код розширень і виявив там приватний сертифікат, який Yahoo! використовує для підпису додатків, щоб підтвердити їх автентичність. Зловмисники можуть використовувати цей сертифікат і поставляти шкідливі розширення для Chrome, нібито верифіковані Yahoo!
Подібна помилка розробників Yahoo дає зловмисникам широкі можливості. Найбільш очевидним є використання коду для створення додатків, що стежать за активністю користувача в мережі інтернет.
У своєму блозі Кубрілович написав: «Сертифікат, який Yahoo! використовувала для підпису розширень, перевіряється Chrome для аутентифікації автентичності походження пакета. Маючи доступ до файлу приватного сертифіката, зловмисник може створити шахрайське розширення, яке Chrome візьме за розширення виробництва Yahoo!
Найбільш очевидне застосування такого сертифіката полягає в тому, що використовуючи файл, ви можете створити підроблене розширення, яке збирає весь трафік, включаючи паролі, cookies сесій і т.д. »
Представники Yahoo! принесли вибачення всім користувачам і виробили заміну матеріалів, які містять в коді закритих ключів.
