Un certificato SSL fraudolento di Google crea problemi in rete
Nella giornata di ieri è stato individuato un certificato digitale fraudolento nell'accesso a Gmail. Già in marzo si era rilevata una situazione simile
di Fabio Boneschi pubblicata il 30 Agosto 2011, alle 10:30 nel canale WebNella giornata di ieri alcuni utenti di Gmail hanno segnalato a Google una situazione pericolosa nella quale si sono venuti a trovare: nel momento in cui hanno provato ad accedere alla pagina del servizio Gmail il proprio browser Chrome ha notificato un problema di sicurezza relativo al certificato digitale. Il browser di Google ha quindi bloccato l'accesso al sito e l'esatta dinamica è documentata qui.
Al centro della vicenda c'è DigiNotar, azienda situata nei Paesi Bassi, che avrebbe gestito in modo non consono il rilascio del certicato ma al momento l'azienda non ha rilasciato ulteriori informazioni e dichiarazioni in merito alla vicenda. La situazione non è però del tutto chiara e sia Mozilla che Microsoft hanno provvisoriamente optato per bloccare tutti i certificati emessi da DigiNotar.
Mozilla ha reso disponibile un apposito aggiornamento per Firefox e suggerisce come soluzione provvisoria la rimozione manuale di DigiNotar dall'elenco delle authority abilitate a gestire i certificati SSL. Il tutto è documentato qui. Per gli utenti di Internet Explorer Microsoft segnala la rimozione di DigiNotar dalla Microsoft Certificate Trust List. Mozilla e Microsoft sottolineano nei reciproci comunicati come il problema non sia da individuare nei propri prodotti ma vista la delicatezza della situazione hanno comunque deciso un drastico e rapido intervento.
Per il momento solo per i prodotti Microsoft Windows Vista, Server 2008, 7 e Server 2008 R2 il problema può dirsi risolto, mentre per Windows XP e Windows Server 2003 - soluzioni che non si appoggiano a Microsoft Certificate Trust List - viene promesso un update dedicato.
Dalle poche informazioni disponibili pare che il certificato fraudolento sia stato utilizzato per attuare attacchi man in the middle in Iran. Un problema simile era accaduto già nello scorso mese di marzo e già in quell'occasione si era evidenziata la vulnerabilità del sistema di gestione dei certificati; quanto accaduto con DigiNotar conferma ulteriormente tali preoccupazioni e secondo alcuni esperti di sicurezza - tra i quali Roel Schouwenberg, senior researcher at Kaspersky Lab - questa situazione di pericolo potrebbe essere sempre più frequente in futuro.
Per il momento gli unici strumenti in grado rilevare questo tipo di problemi sono integrati nei più recenti browser o disponibili come software di terze parti, ma è necessario un costante aggiornamento del sistema per avere un minimo di garanzie. Ryan Hurst, manager of advertising security engineering at Microsoft, in questa nota spiega nel dettaglio alcune possibili modalità di intervento per limitare i rischi potenziali.
2 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - infoSpeculazini on: chi avrebbe interesse a corrompere una società di certificati per farsene rilasciare uno fraudolento? Quale sarebbe stato lo scopo?
Dopo Stuxnet credo sia molto probabile che tutto ruoti in questo senso.
Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".