Otto chiavi di firma compromesse dell’autorità di certificazione indiana eMudhra hanno messo in luce una lacuna tra le protezioni dei browser e i software che operano dietro i siti web e gli strumenti di trading. Al ventuno ottobre, i principali produttori di browser avevano bloccato i certificati interessati, ma alcuni programmi non basati su browser potevano ancora accettare credenziali contraffatte perché non verificano se i certificati siano stati revocati.
Punti chiave
- I ricercatori hanno recuperato otto chiavi private deboli, utilizzabili per firmare certificati che si spacciavano per quelli di siti web affidabili.
- I produttori di browser hanno bloccato i certificati interessati, ma la revoca da sola non protegge i software che non la verificano.
- Non erano stati segnalati attacchi crypto; la preoccupazione riguarda software obsoleti in tutto il più ampio ecosistema di Internet.
Indice
- Dove permane l’esposizione dopo la violazione delle chiavi di eMudhra
- Quali protezioni erano già arrivate agli utenti?
- In che modo le chiavi deboli hanno compromesso la verifica dei siti web
- Perché i software di trading richiedono un’attenzione specifica
- Conclusione
Dove permane l’esposizione dopo la violazione delle chiavi di eMudhra
La distinzione fondamentale è tra revocare un certificato e assicurarsi che il software rifiuti di considerarlo attendibile. eMudhra ha revocato i certificati interessati, ma il ricercatore di sicurezza Scott Helme ha avvertito che questa misura non offre alcuna protezione ai programmi che non verificano lo stato di revoca.
Helme ha dichiarato che i suoi test hanno rilevato che curl, Python, Node, Go e Java accettavano un certificato contraffatto per l’API di Stripe. Si trattava di una dimostrazione dell’accettazione del certificato, non della prova che Stripe fosse stata violata.
Un certificato fraudolento può consentire a un intermediario di rete di spacciarsi per un servizio affidabile e leggere o modificare il traffico. I blocchi dei browser contrastano questo rischio nei browser protetti, ma non garantiscono che ogni applicazione separata o sistema backend abbia ricevuto una protezione equivalente.
| Voce | Dettagli |
|---|---|
| Mozilla e Chrome | Entrambi hanno bloccato i certificati interessati il diciassette ottobre; il blocco di Mozilla è arrivato circa tre ore dopo la segnalazione. |
| Apple | Ha seguito con la propria risposta il diciannove ottobre. |
| Microsoft | Ha seguito il venti ottobre. |
| Revoca dei certificati | eMudhra ha revocato i certificati interessati, ma la misura è utile solo se il software verifica la revoca. |
| Correzioni disponibili per software non basati su browser | Erano disponibili correzioni per Go, per il pacchetto certifi di Python e per webpki-roots di Rust. |
| Node.js | Al ventuno ottobre era ancora in attesa di una correzione. |
Quali protezioni erano già arrivate agli utenti?
La risposta è iniziata dopo che un ricercatore di nome Wayne ha avvisato i produttori di browser il diciassette ottobre. Ha dimostrato di avere il controllo di tutte e otto le chiavi compromesse usandole per firmare digitalmente il suo avvertimento. La disponibilità delle correzioni non dimostrava che tutte le installazioni fossero state aggiornate.
In che modo le chiavi deboli hanno compromesso la verifica dei siti web
Le autorità di certificazione forniscono le credenziali che i browser usano per verificare l’identità dei siti web. Le loro chiavi private di firma comportano quindi una responsabilità diversa da quella di una normale password di un sito: una chiave di firma compromessa può essere usata per creare certificati dall’aspetto autentico per altri siti.
Helme ha dichiarato di aver recuperato tutte e otto le chiavi da certificati pubblici in meno di un secondo. Tra i valori delle chiavi private individuati figuravano 4 e 56, a dimostrazione della scarsa resistenza delle chiavi al recupero. Ha affermato che erano rimaste esposte dall’aprile 2025.
Secondo l’interpretazione di Helme di un ticket di segnalazione di bug di Mozilla, eMudhra ha attribuito il problema a un bug nello script di configurazione delle chiavi.
Perché i software di trading richiedono un’attenzione specifica
Per gli utenti crypto, il rischio non si limita all’accesso a un exchange tramite browser. I bot per gli exchange, gli script di trading e i backend dei wallet possono dipendere dai software non basati su browser interessati. In teoria, un certificato contraffatto per l’API di un exchange potrebbe permettere a un aggressore presente sulla stessa rete di intercettare o modificare il traffico di un bot.
Non erano stati segnalati attacchi crypto. Mudit Gupta, responsabile tecnologico di Polygon Labs, ha affermato che la vulnerabilità era un problema generale di sicurezza del software, non specifico del settore crypto, e che i software più vecchi o non aggiornati destavano particolare preoccupazione. Ha aggiunto che gli utenti che mantenevano aggiornati wallet, strumenti di trading e dispositivi correvano rischi inferiori.
Conclusione
La risposta dei browser ha chiuso una via immediata per l’impersonificazione tramite certificati, ma non ha risolto il problema più ampio dei software. L’esposizione residua dipende dalla capacità dei singoli strumenti di rifiutare le credenziali compromesse, non semplicemente dal fatto che l’emittente le abbia revocate.
Leggi altre notizie
Avvertenza
Questo articolo di FinanceVelix fornisce informazioni di carattere generale e non costituisce consulenza finanziaria, d’investimento, legale o fiscale personalizzata. I prezzi di mercato, i tassi d’interesse e le condizioni economiche possono cambiare; gli investimenti comportano il rischio di perdita. I fatti rispecchiano le informazioni disponibili al momento della pubblicazione e possono cambiare. Verificate in modo indipendente le informazioni importanti e, se necessario, rivolgetevi a un professionista qualificato. La menzione di un’attività, di una società o di un servizio non costituisce un’approvazione.
