Compromessi alcuni server di produzione di Adobe

Il problema della sicurezza dello storage dei certificati digitali è da sempre uno dei punti critici che minano alla base le infrastrutture PKI, rendendone potenzialmente nullo l'intero fattore sicurezza e rischiando un punto di rottura nella "catena della fiducia".

L'Adobe Secure Software Engineering Team (ASSET), il team di sicurezza di Adobe, ha reso noto nella giornata di ieri che uno dei server di produzione utilizzati da Adobe per lo sviluppo e la firma digitale dei propri prodotti è stato compromesso da pirati informatici ancora ignoti, i quali hanno utilizzato questa breccia per poter firmare digitalmente software nocivi con il certificato digitale legalmente valido di Adobe.

Adobe, nel comunicato ufficiale pubblicato nel blog della società, ha dichiarato di aver già isolato il server compromesso e di aver aperto un'inchiesta interna al fine di identificare le metodologie che hanno permesso ai pirati informatici di potervi accedere. La società ha comunque chiarito che i certificati digitali non erano in alcun modo salvati nel server compromesso, il quale tuttavia aveva permesso di accedere al protocollo di richiesta per firmare automaticamente i file.

La società ha già comunicato a Verisign, la certification authority che rilascia i certificati digitali ad Adobe, di revocare il certificato compromesso e ha iniziato una procedura manuale per rifirmare digitalmente tutti i file Adobe precedentemente firmati con il vecchio certificato. Verisign, dal canto suo, ha dichiarato che rilascerà la Certificate Revocation List (CRL) aggiornata il prossimo 4 ottobre.

"Il problema concettuale in un'infrastruttura PKI sta proprio nel doversi affidare quasi ciecamente a chi gestisce i certificati digitali, sperando che vengano trattati applicando delle linee guida che garantiscano il massimo della sicurezza. Il fatto che un software sia firmato digitalmente purtroppo non da una garanzia completa della bontà di tale software" ha dichiarato Marco Giuliani, direttore della società di sicurezza italiana ITSEC, intervistato da Hardware Upgrade sull'incidente.

Il problema principale, dichiara Giuliani, sta nel fatto che molti software di sicurezza verificano la presenza di una firma digitale valida mentre analizzano un software e, se viene identificata, il software in molti casi viene marcato immediatamente come sicuro. Un approccio, questo, errato perché non terrebbe conto di molti altri fattori.

"Quando si ha di fronte un software firmato digitalmente si ha la certezza che quel software, dal momento in cui è stato firmato, non è stato più alterato. Ma sarà molto più difficile poter verificare se il certificato digitale utilizzato per la firma di quel prodotto non sia stato in qualche modo abusato, né si può avere la certezza che l'eventuale programmatore o team di programmatori di tale software non abbia avuto i propri PC a loro volta contaminati" continua poi Giuliani, "in quel caso il software sarebbe infetto sin dalla sorgente, vanificando fondamentalmente il fattore di affidabilità".

Da qui l'importanza, secondo Giuliani, di applicare sempre una sicurezza a più livelli, di affidarsi cioè sì a software firmati digitalmente - i quali garantiscono comunque un maggiore livello di sicurezza - ma senza dimenticare i software antivirus.

"Un software antivirus controlla comunque il codice che sta per essere eseguito, indipendentemente dal fatto che sia firmato o meno, è un secondo occhio digitale che permette di guardare all'interno di un file che altrimenti non verrebbe controllato ma la cui bontà sarebbe data per scontata" ha commentato infine Giuliani.