c.m.g
01-09-2011, 17:39
mercoledì 31 agosto 2011
L'autorità responsabile dell'emissione del certificato contraffatto dice di essere stata vittima di un hack a inizio luglio. Quello in questione, per Google, era sfuggito al repulisti. F-Secure semina zizzania sulla reputazione della società
Roma - La vicenda del certificato SSL trafugato (http://punto-informatico.it/3255003/PI/News/google-vittima-un-falso-certificato-ssl.aspx) dalla CA ("certificate authority) fiamminga DigiNotar si tinge di giallo: Vasco Data Security, la società USA proprietaria di DigiNotar, conferma che la società con base nei Paesi Bassi è stata vittima di un hack e che "almeno" un certificato SSL è finito online, ma assicura che ora è tutto sistemato.
Vasco sostiene che DigiNotar ha individuato l'hack lo scorso 19 luglio, riuscendo a bloccare (http://old.news.yahoo.com/s/ap/20110831/ap_on_hi_te/eu_netherlands_hacking_incident) l'emissione di quasi tutti i certificati SSL compromessi. Purtroppo quello "fuoriuscito" faceva riferimento ai servizi offerti da Google, anche se ora è esso stesso revocato e non più sfruttabile per condurre attacchi alle comunicazione protette degli ignari utenti di Internet.
Che il certificato "malevolo" sia stato revocato meno, a ogni modo, l'allerta in rete continua a essere alta: Google mette in guarda da possibili attacchi di tipo "man-in-the-middle", in cui malintenzionati potrebbero sfruttare il certificato (http://searchenginewatch.com/article/2105331/Google-Warns-Users-of-Possible-Man-in-the-Middle-Attacks) per camuffare operazioni di ingegneria sociale dietro l'apparente sicurezza delle connessioni protette sui suoi domini.Anche i browser web vengono aggiornati (http://www.h-online.com/security/news/item/Updated-Chrome-and-Firefox-for-fraudulent-Google-certificate-available-1333898.html) per revocare in maniera permanente i certificati SSL di DigiNotar: Mozilla ha distribuito nuove versioni per Firefox (3.6.21 e 6.0.1) e Thunderbird (6.0.1), mentre Google stessa ha rilasciato il nuovo Chrome 13.0.782.218.
Vasco ha assicurato la revocazione completa dei certificati fedifraghi da parte di DigiNotar, ma stando a quanto sostiene F-Secure sulle rassicurazioni di Vasco c'è ben poco da stare tranquilli: la società di sicurezza finlandese dice che DigiNotar era stata attaccata e compromessa già un paio di anni fa (http://www.techdirt.com/articles/20110830/13243615741/evidence-suggests-diginotar-who-issued-fraudulent-google-certificate-was-hacked-years-ago.shtml), un curriculum non proprio all'altezza di una società che dovrebbe garantire la sicurezza delle comunicazioni cifrate fra client e server sul web.
Alfonso Maruccia
Fonte: Punto Informatico (http://punto-informatico.it/3255909/PI/News/certificati-ssl-un-pasticcio-diginotar.aspx)
L'autorità responsabile dell'emissione del certificato contraffatto dice di essere stata vittima di un hack a inizio luglio. Quello in questione, per Google, era sfuggito al repulisti. F-Secure semina zizzania sulla reputazione della società
Roma - La vicenda del certificato SSL trafugato (http://punto-informatico.it/3255003/PI/News/google-vittima-un-falso-certificato-ssl.aspx) dalla CA ("certificate authority) fiamminga DigiNotar si tinge di giallo: Vasco Data Security, la società USA proprietaria di DigiNotar, conferma che la società con base nei Paesi Bassi è stata vittima di un hack e che "almeno" un certificato SSL è finito online, ma assicura che ora è tutto sistemato.
Vasco sostiene che DigiNotar ha individuato l'hack lo scorso 19 luglio, riuscendo a bloccare (http://old.news.yahoo.com/s/ap/20110831/ap_on_hi_te/eu_netherlands_hacking_incident) l'emissione di quasi tutti i certificati SSL compromessi. Purtroppo quello "fuoriuscito" faceva riferimento ai servizi offerti da Google, anche se ora è esso stesso revocato e non più sfruttabile per condurre attacchi alle comunicazione protette degli ignari utenti di Internet.
Che il certificato "malevolo" sia stato revocato meno, a ogni modo, l'allerta in rete continua a essere alta: Google mette in guarda da possibili attacchi di tipo "man-in-the-middle", in cui malintenzionati potrebbero sfruttare il certificato (http://searchenginewatch.com/article/2105331/Google-Warns-Users-of-Possible-Man-in-the-Middle-Attacks) per camuffare operazioni di ingegneria sociale dietro l'apparente sicurezza delle connessioni protette sui suoi domini.Anche i browser web vengono aggiornati (http://www.h-online.com/security/news/item/Updated-Chrome-and-Firefox-for-fraudulent-Google-certificate-available-1333898.html) per revocare in maniera permanente i certificati SSL di DigiNotar: Mozilla ha distribuito nuove versioni per Firefox (3.6.21 e 6.0.1) e Thunderbird (6.0.1), mentre Google stessa ha rilasciato il nuovo Chrome 13.0.782.218.
Vasco ha assicurato la revocazione completa dei certificati fedifraghi da parte di DigiNotar, ma stando a quanto sostiene F-Secure sulle rassicurazioni di Vasco c'è ben poco da stare tranquilli: la società di sicurezza finlandese dice che DigiNotar era stata attaccata e compromessa già un paio di anni fa (http://www.techdirt.com/articles/20110830/13243615741/evidence-suggests-diginotar-who-issued-fraudulent-google-certificate-was-hacked-years-ago.shtml), un curriculum non proprio all'altezza di una società che dovrebbe garantire la sicurezza delle comunicazioni cifrate fra client e server sul web.
Alfonso Maruccia
Fonte: Punto Informatico (http://punto-informatico.it/3255909/PI/News/certificati-ssl-un-pasticcio-diginotar.aspx)