C’è chi pianifica una strategia di espansione globale e chi, invece, decide di dare in mano a chiunque la capacità di firmare certificati per qualsiasi sito web. Se pensate che la sicurezza informatica sia fatta solo di algoritmi matematici impenetrabili, la recente debacle di eMudhra è qui per ricordarvi che il vero punto debole resta, come sempre, il fattore umano e la gestione approssimativa dei processi.
Il succo della storia è questo: durante quella che dovrebbe essere una «key signing ceremony» — un evento che, per chi non mastica crittografia, è un rituale quasi sacro dove si generano le chiavi madri in un ambiente ultra-controllato — qualcosa è andato terribilmente storto. Invece di blindare l’integrità del sistema, il processo è stato così mal gestito da permettere la creazione di certificati web per qualsiasi dominio. In pratica, è come se un fabbro, durante la creazione di una chiave maestra, avesse lasciato la porta del caveau aperta e con un cartello con scritto «prendete pure».
Per i nostri amici che masticano TLS e infrastrutture critiche, il concetto è un incubo. Quando una Certificate Authority (CA) perde il controllo sulle proprie chiavi private, il concetto stesso di ‘fiducia’ su cui poggia l’intero web svanisce. Se puoi coniare credenziali per qualsiasi sito, puoi fare Man-in-the-Middle ovunque, intercettare traffico, rubare sessioni e far sembrare sicura una connessione che in realtà è una trappola.
Certo, siamo in Italia e probabilmente molti di voi pensano: «E a me cosa cambia? Uso solo servizi cloud e non gestisco la CA aziendale». In realtà, le ripercussioni di questi errori sistemici sono globali. Anche se l’azienda ha annunciato il ritiro dal business dei certificati TLS per limitare i danni, il precedente è devastante. È il classico caso in cui la gestione dell’hype e la necessità di scalare i servizi hanno preso il sopravvento sulla rigorosa disciplina necessaria per operare in questo settore.
Non è la prima volta che vediamo provider che, invece di concentrarsi sulla solidità del protocollo, sembrano più interessati a vendere servizi come se fossero abbonamenti a una piattaforma di streaming. Ma quando il prodotto è la fiducia, non puoi permetterti di fare il dilettante. La lezione per noi maker e dev? Se state gestendo qualcosa di critico, non fidatevi mai di chi considera una cerimonia di sicurezza come una semplice riunione di condominio. Implementare processi robusti costa, ma fallire come eMudhra costa la reputazione (e forse anche il business).
Source: Disgraced eMudhra drops out of TLS business after using cert private key of 4