Scegliere una password come «password123» è già un gesto che fa venire i brividi a chiunque abbia almeno un minimo di neuroni funzionanti, ma decidere di usare il numero «4» come chiave privata per una Certificate Authority è un livello di pigrizia che rasenta l’arte moderna.
Sì, non state leggendo un meme su Reddit. Recentemente è emerso che eMudhra, un player che dovrebbe occuparsi della gestione di certificati digitali — ovvero il pilastro su cui si regge la fiducia del web — ha lasciato in giro delle chiavi private che sono, letteral’mente, dei numeri banali. Una delle chiavi è il numero 4. Un’altra è il 56. Un’altra ancora è il 115. Senza complicazioni, senza entropia, senza quel briciolo di matematica crittografica che separa un sistema sicuro da un giocattolo di plastica.
Il ricercatore che ha scoperto il tutto ha riportato la notizia a tutti i big del settore: Apple, Google, Microsoft, Mozilla. Immaginate la scena: i team di security di questi colossi che aprono il ticket e si trovano davanti un report che dice: «Ehi, il problema di sicurezza è che la chiave è un numero intero che potrei scordarmi dopo cena». Il tutto è stato recuperato dai certificati pubblici in meno di un secondo. Non serve un supercomputer della NASA, basta un laptop e un po’ di sana curiosità.
Per chi non mastica crittografia, le chiavi private sono il cuore pulsante della fiducia digitale. Se io possiedo la tua chiave, posso firmare software, certificati e comunicazioni facendo credere al mondo che siano legittimi. È come se lasciassero le chiavi della cassaforte di una banca attaccate alla porta con un cartello con scritto «Prego, entrate».
Certo, la notizia arriva da un contesto internazionale che potrebbe sembrare distante dai nostri uffici in Italia, ma l’impatto è globale. Quando le infrastrutture di trust falliscono in questo modo, la fiducia nell’intero ecosistema digitale viene meno. Non è solo questione di patch o di aggiornamenti del browser; è una questione di fondamenta. Se chi deve garantire la sicurezza si dimentica le basi della matematica elementare, che speranza abbiamo noi che il resto del web sia sotto controllo?
Spero solo che questo disastro serva da lezione per tutti noi. La crittografia non è un optional decorativo, non è un suggerimento stilistico. È l’unica cosa che impedisce al caos di prendere il sopravvento. E per l’amor del cielo, se state configurando un server, usate l’entropia. Anche se è un po’ più complicato che digitare «4».
Source: Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds