Solo la settimana scorsa abbiamo parlato di quanto fosse sicuro ottenere, per mezzo dei certificati digitali, un documento in grado di attestare digitalmente la nostra identità e di conseguenza di tutti i documenti importanti che vogliamo firmare per la trasmissione elettronica. Abbiamo anche capito come funziona il procedimento che ci porta ad avere un certificato, grazie ad un ente terzo al di sopra delle parti, l’Autorità di Certificazione, che fa da garante alla chiave pubblica in nostro possesso.
Non ultimo, abbiamo altresì sottolineato come una compromissione della CA potesse essere un grosso problema per la sicurezza, in quanto non si sarebbe stati in grado di accertare la presenza di un certificato falso. Neanche a farlo apposta, è notizia molto recente di un attacco verso una CA, la Comodo, che si è vista letteralmente sottrarre alcuni certificati utilizzati per il protocollo SSL.
La vulnerabilità infatti non è insita nel protocollo SSL (benché proprio di recente sia stata rilevata una vulnerabilità che affronteremo in un futuro articolo), ma più che altro nelle politiche di sicurezza interne alla Comodo: pare infatti che, sfruttando le credenziali di accesso di un cliente della CA, sia stato possibile bucare i server dell’azienda e sottrarre i certificati. L’attacco è molto grave, perché con questi certificati è possibile produrre qualsiasi pagina fraudolenta senza che il nostro browser se ne possa accorgere, esponendoci così a rischi di phishing molto forti.
Per fortuna però, le “bugie” hanno spesso le gambe corte, e sia la Comodo che i maggiori produttori di browser si sono mossi all’istante per riparare la vulnerabilità. Per prima cosa, la CA ha subito inserito i certificati rubati nella CRL (certificate revocation list), e siccome tutti i migliori software eseguono sempre un controllo prima di autenticare ogni certificato, in poche ore il problema è stato arginato. In realtà, già qualche giorno prima, Microsoft si era accorta di un numero anomalo di certificati falsi, e si era subito messa in allerta.
Di lì a poco, è spuntato un aggiornamento su Windows Update che aggiorna la black list del sistema operativo e di Internet Explorer, un accorgimento non necessario (grazie alla presenza della CRL), ma comunque utile per essere più che sicuri. Anche Chrome e Firefox hanno immediatamente reagito con delle patch preventive.
Analizzando più nel dettaglio cos’è accaduto, ci accorgiamo che i certificati fasulli erano ben 9, e tutti relativi a domini piuttosto importanti: login.live.com, google.com, login.yahoo.com, login.skype.com ed addons.mozilla.org giusto per citare i più importanti. L’attacco ha quindi qualcosa di strano: ogni certificato SSL infatti, ha tra le sue informazioni il dominio sul quale può funzionare, pertanto un certificato emesso per il dominio skype, ad esempio, non può certo essere usato su una pagina web qualsiasi.
La morale è che i certificati rubati di fatto erano difficilmente utilizzabili, in quanto non sfruttabili a piacere ma limitati all’uso su domini così “famosi”. Le indagini di Comodo sull’attacco, pongono però l’accento su un paio di questioni importanti. Pare infatti che dietro questo furto ci sia una qualche organizzazione, forse governativa, Iraniana, od almeno così sembra dall’analisi della provenienza degli indirizzi ip. Com’è noto infatti, da qualche tempo il governo Iraniano ha in essere politiche di controllo e di blocco verso alcuni dei servizi internet più importanti, tra i quali figurano i siti provenienti dai domini sopraccitati.
Ci sono alcune ipotesi secondo le quali questo furto sia stata una prova generale per vedere quanto fosse fattibile, e soprattutto capire, quali fossero i tempi di risposta dei “signori” della rete, in modo da avere i mezzi e le strategie per pianificare un attacco su scala molto più vasta e mettere a segno un colpo in grado di inginocchiare tutto il web. Quest’ultima ipotesi, benché presenti dei tratti da “teoria del complotto”, non è completamente campata in aria, in quanto l’SSL è un protocollo davvero sicuro ed efficace, e solo attacchi di questo genere potrebbero effettivamente avere successo, poiché un hack di un certificato con il massimo della protezione è alquanto improbabile.
Questa mossa, che sia oppure no ad opera del governo in Iran, mi fa tornare in mente il temporaneo spegnimento di internet in Libia, verificatosi poche settimane fa. Per chi non avesse seguito la vicenda, diciamo brevemente che per un certo periodo, a ridosso degli inizi della ribellione libica, l’intero paese risultava completamente isolato dalla rete mondiale, benché apparentemente fosse tutto online.
Un attacco, secondo gli esperti, molto sofisticato che va al di là del banale spegnimento dei server, che come sappiamo è sempre facilmente aggirabile. Si parla infatti dell’uso modificato della tecnica del throttling, ossia un metodo largamente utilizzato per bilanciare il traffico di rete per evitare sovraccarichi verso apparati su cui grava un numero eccessivo di connessioni.
In pratica, pare che ogni pacchetto dati inviato da o verso una sorgente libica, si perdesse nel “vuoto” quasi come fosse stato sbriciolato prima di raggiungere la sua destinazione, risultando impossibile utilizzare i più diffusi social network paralizzando così la diffusione di notizie probabilmente scomode per il regime.
Cosa possiamo imparare da queste due vicende? Certamente che internet è sempre più in difficoltà nel contrastare la crescente consapevolezza della rete, questione che da un lato favorisce, passatemi il termine, “l’internettizzazione” delle masse mentre e dall’altro permette anche a paesi non propriamente sviluppati, di farsi beffe delle protezioni in atto compiendo attacchi molto sofisticati.
Forse sarebbe il caso di evolvere i sistemi, aumentarne il livello di sicurezza ed adottare qualcosa di nuovo, magari passare all’ IPv6 in tempi brevi per poter migrare verso soluzioni più affidabili. Nei miei articoli è sempre trasparso un lauto ottimismo verso le tecnologie di sicurezza più disparate, e continuo a pensarla così: ciò che mi spaventa è l’uso che ne fa l’uomo. Possibile che una CA, che ha un ruolo estremamente importante nella sicurezza informatica, possa avere un buco tale che, semplicemente sfruttando le credenziali d’accesso di un normale cliente, si sia fatta sottrarre dei certificati?
Cosa sarebbe successo se l’attacco fosse stato più “pulito” e se gli fossero state sottratte le chiavi private? I ladri avrebbero potuto creare certificati falsi per qualsiasi dominio e per qualsiasi scopo, e difficilmente ce ne saremmo accorti con così grande rapidità, ma soprattutto non sarebbe bastato un semplice aggiornamento della CRL o della black list, ma ci sarebbero volute misure molto più drastiche tra le quali forse la revoca di migliaia di certificati!
Nello scorso articolo inoltre, avevamo accennato alle rigidissime regole alle quali un’autorità di certificazione deve sottostare per la preservazione dei propri server, ma io stesso, per il lavoro che svolgo, ho esperienza di una CA italiana dove queste misure lasciano parecchio a desiderare, ma di certo non mi sarei aspettato altrettanto da un colosso come Comodo.
Insomma, nonostante non ci sia stato nessun danno ed il pericolo sia rientrato dopo pochissime ore, resta grave l’accaduto perché mostra ancora una volta come la perfetta armonia ed eleganza matematica che c’è dietro un certificato digitale e la tecnologia che contiene, sia pessimamente ridotta a quasi zero dall’incauto strato dell’umana imperfezione.
