211service.com
I certificati falsi rivelano difetti nella sicurezza di Internet
Una grave violazione presso un fornitore olandese di certificati digitali ha indotto alcuni esperti di sicurezza a mettere in discussione l'infrastruttura che è alla base della sicurezza di Internet.
La violazione ha consentito agli aggressori sconosciuti di emettere almeno 531 certificati fraudolenti per i principali domini, tra cui Google.com, Microsoft.com e Yahoo.com. I certificati dovrebbero verificare che un sito Web sia autentico per il browser Web di un visitatore; tale verifica impedisce a un utente malintenzionato di utilizzare un indirizzo di dominio contraffatto per rubare dati. I certificati contengono dati crittografati che consentono ai browser e ad altri software di confermare che un sito Web è legittimo. Pertanto, compromettendo il certificato digitale, un utente malintenzionato può spacciarsi per un sito Web sicuro, come Gmail di Google, e intercettare le comunicazioni o aggirare i meccanismi di sicurezza e installare software dannoso.
Ciò che è insolito qui non è che un'autorità di certificazione sia stata compromessa, ma che qualcuno abbia notato, afferma Moxie Marlinspike, chief technology officer e cofondatore di Whisper Systems, un'azienda che si occupa di proteggere le comunicazioni mobili. Questo sta succedendo tutto il tempo.
La società di certificazione compromessa, DigiNotar, è una delle circa 650 società, note come autorità di certificazione o CA, affidabili per l'emissione dei certificati. All'inizio di quest'anno, un'altra autorità di certificazione, Comodo, ha riconosciuto che un utente malintenzionato ha violato la sicurezza dei suoi sistemi e ha emesso almeno nove certificati per domini di grandi dimensioni, tra cui Google, Skype e Yahoo. Alla Black Hat Security Conference di agosto, Marlinspike ha criticato l'attuale sistema di autorità di certificazione e ha offerto un modello diverso, noto come Convergence, basato su un modello di fiducia peer-to-peer.
L'Electronic Frontier Foundation, un gruppo per i diritti digitali, ha sostenuto in un'analisi pubblicato questa settimana che le recenti intrusioni suggeriscono che la scelta se fidarsi di un'autorità di certificazione dovrebbe spettare all'utente, non ai fornitori di browser o ai siti Web.
Queste CA sembrano esistere all'interno delle giurisdizioni di circa 50 paesi, scrivono gli autori del rapporto. Ognuno di questi paesi potrebbe in teoria costringere una CA a creare certificati fraudolenti a fini di spionaggio o per spiare i cittadini di quel paese.
L'ultimo attacco dimostra che una singola violazione può avere effetti di vasta portata. UN rapporto preliminare rilasciato dalla società di sicurezza olandese Fox-IT all'inizio di settembre, ha scoperto che gli intrusi hanno sfruttato punti deboli significativi nella sicurezza della rete di DigiNotar, incluso un singolo account in grado di controllare tutti i suoi server di certificati e l'utilizzo di una password debole per l'accesso all'account. L'azienda ha scoperto che più di 300.000 indirizzi IP univoci, quasi interamente dall'Iran, hanno riscontrato un certificato fraudolento emesso per il dominio di Google. Già Apple, Google, Microsoft e Mozilla hanno aggiornato il proprio browser per non fidarsi di alcun certificato firmato da DigiNotar.
Il governo olandese, che si affida alle firme digitali emesse da DigiNotar per le sue comunicazioni crittografate, ha rilevato le operazioni di certificazione della società. Inoltre, sta indagando se l'attenzione agli utenti iraniani potrebbe indicare che il governo della nazione potrebbe essere stato coinvolto nell'attacco.
Il sistema di certificati funziona, ma necessita di maggiore attenzione alla sicurezza, afferma Amar Doshi, senior manager dei prodotti certificati con la società di sicurezza Symantec, che ha acquisito e ora gestisce l'autorità di certificazione VeriSign.
Tutti gli eventi delle ultime due settimane dimostrano davvero che 'un certificato è un certificato è un certificato' non si applica realmente, afferma Doshi. Ci sono differenze tra i certificati. Ci sono differenze tra le CA.
Alcuni dei produttori di browser sembrano pronti a concentrarsi su queste differenze. La scorsa settimana, la Mozilla Foundation, il gruppo che gestisce lo sviluppo del browser Firefox, ha fornito alle autorità di certificazione un elenco di controlli di sicurezza da completare in otto giorni. Ha affermato che qualsiasi autorità che non ottemperi alla richiesta potrebbe trovare i certificati emessi da loro ritenuti inaffidabili da Mozilla.
La partecipazione al programma principale di Mozilla è a nostra esclusiva discrezione e adotteremo tutte le misure necessarie per proteggere i nostri utenti, Kathleen Wilson, la responsabile del programma responsabile del modulo certificati CA di Mozilla, detto in una e-mail alle autorità di certificazione.