Problema di sicurezza certificati: LEGGETE!

[patanfrana]

Lo scrivo in un thread a parte perchè lo ritengo abbastanza importante e poco pubblicizzato dalle fonti di informazione.

In pratica (riassumo con termini terra terra, per semplificare) un paio di settimane fa è stato violato il sistema di una delle aziende (DigiNotar) che certifica l'attendibilità dei siti internet più importanti, rilasciando i cosiddetti certificati di sicurezza.

Chi ha avuto accesso a questo sistema, ha potuto generare almeno 500 certificati fasulli, che in pratica possono far credere al vostro browser di essere collegati al sito X (sicuro), mentre siete collegati a quello Y (non sicuro).

I siti compromessi sono tra i più importanti: Google, Yahoo, Microsoft, Skype... ma si parla anche di CIA, MI6 ed altri.

Alcuni browser (Firefox e Chrome mi pare) si sono già aggiornati per eliminare tali certificazioni da quelle sicure, ma ancora non basta.

Il metodo migliore per ogni sistema MacOsX è quello di eliminare definitivamente Diginotar dalle fonti di certificazioni sicure, ed ora vi spiego come.


Aprite la cartella Applicazioni
Aprite la cartella Utility in essa contenuta
Aprite il programma che si chiama Accesso Portachiavi.app
Nella colonna di sinistra selezionate la voce Root di sistema

http://www.cantus.us/wp-content/uploads/2011/08/wpid-991E0A16-3ABB-4AD6-A71A-741BD0E9348A-2011-08-31-08-56.png

Nello spazio di ricerca in alto a destra digitate Diginotar
Dovreste trovare una o due voci chiamate "DiniNotar Root CA"

http://www.cantus.us/wp-content/uploads/2011/08/wpid-1BFF251F-B9D0-45CE-9B86-6780162DF3BF-2011-08-31-08-56.png

Cliccatevi sopra col il tasto destro (o Ctrl-Click) e dal menù a tendina selezionate Elimina "DigiNotar Root CA"

http://www.cantus.us/wp-content/uploads/2011/08/wpid-E81A27D0-61D7-4623-B404-158CE5CD232D-2011-08-31-08-56.png

Vi chiederà conferma e poi la password di amministratore. Inseritela e la cosa sarà conclusa.

Nelle guide fatte inizialmente si spiegava semplicemente di rendere DigiNotar come "non attendibile", ma pare che in alcuni casi (specie su Lion) questo non risolva nulla, quindi è meglio rimuovere definitivamente il certificato.

Ritengo questa procedura molto importante, quindi chiedo ai mod se almeno per qualche settimana possono mettere questo post in rilievo.

[Mondoedox]

Grazie mille, patanfrana! Però, io non riesco ad eliminare il certificato su Lion! Già il portachiavi fa le bizze quando gli chiedo di sbloccarsi [cliccando sul lucchetto chiuso in alto a sinistra]; poi, quelle rare volte che mi appare l'opzione per eliminare il certificato, non viene eliminato comunque...

Succede solo a me?!

[patanfrana]

Decisamente strano... prova a chiedere nel thread di Lion se qualcuno ha lo stesso problema :)

[cloaca]

Grazie, eliminato su lion senza problemi ;)

[Lor1981]

...arola :eek:
grazie per l'info! appena torno a casa elimino il certificato :)

[Mondoedox]

Decisamente strano... prova a chiedere nel thread di Lion se qualcuno ha lo stesso problema :)

Ci ho riprovato, ed è filato tutto liscio. Maledetto Portachiavi... :)

[pgp]

Fatto! Grazie, patanfrana, sei un vero punto di riferimento in questa sezione :)


pgp

[AlexSwitch]

Eliminato il certificato Diginotar..... Se ci sono problemi provare ad eseguire l'operazione a Safari chiuso. ;)

Un grazie enorme a patanfrana per il thread :)

[juniorjak]

Grazie per l'informazione! Eliminato al volo

[Lawilet]

io mi sono fatto un backup del certificato, non si sa mai ;)

[VICIUS]

Cancellare il certificato no vorrei creasse problemi. Io per ora l'ho messo su Never Trust. Cache svuotate e riavvio.

Per provare se tutto quanto è andato a buon fine provate a visitare questo link: https://telewerken.tennet.org/

Usa i vecchi certificati di DigiNotar quindi il browser dovrebbe darvi un errore.

[AlexSwitch]

Un problema, dopo la rimozione del certificato, sul mio iMac l'ho riscontrato: crash di di Safari ( 5.1 ).....

[patanfrana]

Un problema, dopo la rimozione del certificato, sul mio iMac l'ho riscontrato: crash di di Safari ( 5.1 ).....
Svuotata la cache e corretti i permessi?

[Pakos6600]

Cancellato il certificato (ne ho fatto un backup nei documenti), cancellata la cache di Safari, ora sto facendo una riparata permessi.
Grazie per la segnalazione

[AlexSwitch]

Provata la riparazione permessi e il flush della cache di Safari.... nulla!!
Ecco il report:

Exception Type: EXC_BAD_ACCESS (SIGSEGV)
Exception Codes: KERN_INVALID_ADDRESS at 0x0000000000000019
Crashed Thread: 0 Dispatch queue: com.apple.main-thread

Thread 0 Crashed: Dispatch queue: com.apple.main-thread
0 libstdc++.6.dylib 0x00007fff802f3798 __dynamic_cast + 36
1 com.apple.security 0x00007fff8787e18d Security::KeychainCore::Identity::required(OpaqueSecIdentityRef*) + 43
2 com.apple.security 0x00007fff8787e07e SecIdentityCopyCertificate + 54
3 com.apple.Safari.framework 0x00007fff88c6d9b0 SecIdentityCopySSLClientAuthenticationChain + 70
4 com.apple.Safari.framework 0x00007fff88ab0553 Safari::useIdentityForChallenge(OpaqueSecIdentityRef*, Safari::WK::AuthenticationChallenge const&) + 32
5 com.apple.Safari.framework 0x00007fff88ab1280 Safari::BrowserContentViewController::useClientCertificatesForAuthenticationChallenge(Safari::WK::AuthenticationChallenge const&) + 354
6 com.apple.Safari.framework 0x00007fff88aa55e2 Safari::BrowserContentViewController::didReceiveAuthenticationChallenge(Safari::WK::AuthenticationChallenge const&) + 78
7 com.apple.Safari.framework 0x00007fff88c2306a Safari::WK::didReceiveAuthenticationChallengeInFrame(OpaqueWKPage const*, OpaqueWKFrame const*, OpaqueWKAuthenticationChallenge const*, void const*) + 99
8 com.apple.WebKit2 0x00007fff871b82f9 WebKit::WebPageProxy::didReceiveAuthenticationChallenge(unsigned long long, WebCore::AuthenticationChallenge const&, unsigned long long) + 133
9 com.apple.WebKit2 0x00007fff871b7c49 void CoreIPC::handleMessage<Messages::WebPageProxy::DidReceiveAuthenticationChallenge, WebKit::WebPageProxy, void (WebKit::WebPageProxy::*)(unsigned long long, WebCore::AuthenticationChallenge const&, unsigned long long)>(CoreIPC::ArgumentDecoder*, WebKit::WebPageProxy*, void (WebKit::WebPageProxy::*)(unsigned long long, WebCore::AuthenticationChallenge const&, unsigned long long)) + 172
10 com.apple.WebKit2 0x00007fff8716feb0 WebKit::WebProcessProxy::didReceiveMessage(CoreIPC::Connection*, CoreIPC::MessageID, CoreIPC::ArgumentDecoder*) + 162
11 com.apple.WebKit2 0x00007fff8716fd9c CoreIPC::Connection::dispatchMessage(CoreIPC::Connection::Message<CoreIPC::ArgumentDecoder>&) + 138

Come si può leggere la validazione dei certificati avviene in una zona protetta della memoria usata dal Kernel; la mancata presenza del certificato innesca un loop che porta allo stallo del thread e al crash dell'applicazione.

Come fare per ottenere nuovamente questo certificato?

[patanfrana]

Il problema avviene subito, dopo tempo, accedendo ad un certo sito...?

Lo puoi chiedere a qualcuno che non l'ha eliminato, visto che si possono esportare: VICIUS per esempio l'ha solo bloccato :)

Mi spiace per questo problema: prima di segnalare la cosa mi sono fatto un bel po' di ricerche e non era mai capitato a nessuno. Ho consigliato l'eliminazione proprio perchè funzionava con tutti, contrariamente al blocco "semplice", che a molti non cambia nulla... :(

Cmq fammi sapere: se serve ho un Mac che non accendo da un po' che ha ancora il certificato :)

[AlexSwitch]

L'inconveniente si verifica, almeno per il momento, solamente se tento di accedere al sito postato da Vicius.
Safari va in bomba subito e si chiude; nessun avviso o richiesta di certificato: pagina bianca, 3 secondi di palla colorata e poi chiusura.
L'errore riportato è sempre il solito come da report.....

[patanfrana]

Mmm... allora ok, è prevedibile (per come sono pensati i certificati nel portachiavi...).

Se vuoi puoi farti ripassare il certificato e bloccarlo, ma se non hai problemi con gli altri siti...

[charliegordon]

Apple ha rilasciato l'aggiornamento di sicurezza 2011-005 (http://support.apple.com/kb/HT4920) per risolvere il problema dei certificati.
È caldamente consigliato un bel click su Software Update ;)

[patanfrana]

Finalmente aggiungerei...

Ora vediamo se si svegliano anche per iOs, visto che è altrettanto vulnerabile (idem Android).

[IlCarletto]

non è in elenco, possibile? 'root di sistema' ' all items'

[rollo89]

Apple ha rilasciato l'aggiornamento di sicurezza 2011-005 (http://support.apple.com/kb/HT4920) per risolvere il problema dei certificati.
È caldamente consigliato un bel click su Software Update ;)

cm si fa a installare?

[VICIUS]

cm si fa a installare?

Basta che apri aggiornamento software e gli fai controllare se c'è qualcosa di nuovo. Lo trova e lo installa da solo. Occhio che serve un riavvio per installarlo.

[cgp]

Basta che apri aggiornamento software e gli fai controllare se c'è qualcosa di nuovo. Lo trova e lo installa da solo. Occhio che serve un riavvio per installarlo.

ragazzi qualcuno mi puo passare in pm un backup del certificato? tanto preso dalle varie cose che nn mi son nemmeno reso conto che nn ho fatto il backup prima di cancellarlo....:cry:

[VICIUS]

ragazzi qualcuno mi puo passare in pm un backup del certificato? tanto preso dalle varie cose che nn mi son nemmeno reso conto che nn ho fatto il backup prima di cancellarlo....:cry:
Eccolo.

[Charlie90]

A me l'aggiornamento di sicurezza l'ha proprio cancellato..

[patanfrana]

Infatti ed i siti "infetti" continuano a far crashare Safari, ma non mi sembra un grosso problema...

[Charlie90]

Infatti ed i siti "infetti" continuano a far crashare Safari, ma non mi sembra un grosso problema...

Sì, anche perché credo si "arrangeranno" loro a tener d'occhio la cosa e -semmai- reintegrare il certificato..

[patanfrana]

Personalmente preferisco così: meglio una soluzione decisa che puoi ripristinare nel tempo, che lasciare una falla così grossa...

E cmq il pericolo non è cessato: l'hacker che ha violato DigiNotar sostiene di avere accesso ad altri 4 server di altrettante società di certificazione... :doh:

E pare che il tutto sia avvenuto di nuovo per software non aggiornati e password troppo semplici... :muro:

[Charlie90]

Personalmente preferisco così: meglio una soluzione decisa che puoi ripristinare nel tempo, che lasciare una falla così grossa...

E cmq il pericolo non è cessato: l'hacker che ha violato DigiNotar sostiene di avere accesso ad altri 4 server di altrettante società di certificazione... :doh:

E pare che il tutto sia avvenuto di nuovo per software non aggiornati e password troppo semplici... :muro:

:doh: :doh:

[cgp]

Eccolo.

grazie! ah l'aggiornamento lo cancellava proprio? bhe cmq me lo scarico...