[NEWS] La “nuova” soluzione ai certificati corrotti in SSL arriva da Google

[c.m.g]

Pubblicato: lunedì 05 dicembre 2011 da Federico Moretti



Alcuni ricercatori di Google hanno proposto una “nuova” soluzione per impedire l’utilizzo di certificati corrotti via SSL. La popolarità del protocollo sicuro HTTPS ha spostato le minacce su un piano differente, rispetto al passato: delle nuove tecniche d’infiltrazione prevedono di sfruttare i certificati per dirottare il traffico.

GMail è stata una delle vittime più illustri del caso di Diginotar, l’autorità certificativa olandese che ha subito un declassamento a untrusted in seguito alla corruzione da parte d’un hacker dei certificati rilasciati. Per questo motivo, Google suggerisce di redigere una lista pubblica dei certificati distribuiti per il controllo.

In sostanza, prima che il browser possa accettare un certificato e indirizzare l’utente al sito, dovrebbe essere effettuato un controllo incrociato con la lista pubblica. Quest’ultima servirebbe a verificare l’integrità del certificato: se l’esito fosse negativo, bloccherebbe il re–indirizzamento dell’utente al dominio specificato.

Il metodo proposto da Google è tutt’altro che inedito: sebbene non sia direttamente supportata dalle società interessate, HTTPS Now di Electronic Frontier Foundation (EFF) fornisce già una lista simile. Si tratterebbe soltanto d’estendere l’elenco ai certificati. EFF è una società non lucrativa, perciò adatta a essere super partes.

Tuttavia, la proposta di Google ha almeno due problemi insormontabili: anzitutto, presuppone che una società abbia riscontrato delle anomalie e le abbia comunicate a chi mantiene la lista dei certificati autorizzati perché quelli compromessi siano banditi. In secondo luogo, il doppio controllo rallenterebbe di sicuro la navigazione.

Un terzo ostacolo riguarda gli algoritmi di cifratura: se un hacker dovesse mantenere la firma originale con un espediente, variando però il contenuto del certificato, il controllo della lista pubblica potrebbe risultare valido. Insomma, la proposta di Google è troppo rischiosa per essere davvero attuabile. Aumenterebbe le minacce.






Fonte: DownloadBlog Via | The H Security