Immaginate di gestire una libreria di componenti hardware rari e, all’improvviso, decidere che vendere cavi e connettori è diventato troppo complicato e quindi smettete di farlo. Ecco, in pratica è quello che ha deciso di fare eMudhra.
La notizia è arrivata dritto dai comunicati stampa aziendali (quelli pieni di quel linguaggio patinato che sembra scritto da un bot addestrato solo su manuali di management): il board di eMudhra ha deciso di ritirarsi volontariamente dal business dei certificati SSL/LE TLS su scala globale. Sì, avete letto bene. Quella parte del loro business che serve a garantire che il lucchetto verde nel browser non sia un falso d’autore sta per essere dismessa.
Ora, per chi non mastica crittografia o non ha passato troppe notti a configurare Nginx sotto la luce blu di un monitor, i certificati SSL/TLS sono il collante invisibile che impedisce a un man-in-the-middle di leggere le vostre password mentre cercate di comprare una tastiera meccanica custom. Senza di essi, internet tornerebbe a essere quel Far West digitale dove chiunque può intercettare i pacchetti come se stesse leggendo una cartolina spedita senza busta.
Ma perché farlo? La verità è che il mercato dei CA (Certificate Authorities) è diventato un ecosistema strangolante, dove i grandi player dominano e le barriere d’ingresso sono alte come i server di un data center governativo. Probabilmente eMudhra ha guardato il panorama e ha pensato: «Perché combattere contro i giganti quando possiamo concentrarci su altre aree della digital trust?». Una mossa che sa di puro calcolo aziendale, lontano anni luce dall’etica del ‘fai da te’ che amiamo.
Per noi che viviamo tra script Python, container Docker e server self-hosted, questa notizia ha l’impatto di un aggiornamento kernel che non richiede il reboot. Se usate Let’s Encrypt o soluzioni simili (che tra l’altro sono la vera salvezza per chi non vuole dipendere dai capricci di un vendor specifico), non cambierà assolutamente nulla. Il vero problema è per le infrastrutture enterprise che si trovano legate a fornitori che decidono i propri destini in base ai bilanci trimestrali.
In Italia, come nel resto del mondo, il panorama dei certificati è ormai così frammentato e automatizzato che il ritiro di un singolo player globale non farà crollare il web. Certo, è sempre triste vedere aziende che rinunciano a settori critici per la sicurezza, ma finché la decentralizzazione e l’automazione continuano a reggere, il nostro piccolo angolo di internet rimarrà al sicuro. Nel frattempo, noi continuiamo a compilare, a patchare e a sperare che il prossimo grande cambiamento sia qualcosa di decisamente più eccitante di un addio ai protocolli TLS.