Immaginate di aver installato una serratura biometrica ultra-sofisticata sulla porta di casa, per poi scoprire che il fabbro ha lasciato una copia della chiave master appesa dietro il bidello del condominio. Ecco, esattamente questo sta succedendo al web in questi giorni.
Secondo quanto riportato da Ars Technica, sono stati scoperti otto certificati TLS intermedi compromessi. Per chi non ha passato le ultime notti a debuggare stack di rete, lasciatelo spiegare senza troppi giri di parole: un certificato intermedio non è la chiave finale che protegge il tuo sito, ma è quella ‘chiave di livello superiore’ che serve a validare i certificati sottostanti. Se un malintenzionato mette le mani su uno di questi, non deve più fare lo scassinatore esperto che scardina una porta blindata; può semplicemente ‘coniare’ certificati falsi a proprio piacimento, facendoli sembrare assolutamente legittimi per qualsiasi server su Internet.
Il problema non è solo che qualcuno possa leggere il tuo traffico o fare un attacco Man-in-the-Middle (per i nostalgici dei vecchi manuali di Cracker). Il problema è che la fiducia, quella vera, quella su cui poggia l’intera infrastruttura digitale globale, è stata scalfita. È come se il sistema di identità digitale su cui si basa il mondo fosse diventato improvvisamente poco più di un post-it scritto male.
Certo, leggendo la notizia si potrebbe pensare: «Ma che importa a me? Vivo in Italia, uso solo servizi locali e non gestisco infrastrutture critiche». E in parte è vero, se la tua unica preoccupazione è che non ti rubino il login di Facebook. Ma se sei un sysadmin, un dev o semplicemente uno che tiene alla propria privacy, la questione è seria. Se la catena di fiducia è interrotta, l’intero ecosistema diventa un Far West dove il lucchetto verde nel browser è solo un suggerimento psicologico, non una garanzia reale.
Non aspettatevi che la soluzione arrivi con un aggiornamento magico e trasparente da parte dei grandi provider che gestiscono la nostra infrastruttura. Spesso queste crisi vengono gestite con una discrezione che farebbe invidia ai servizi segreti, sperando che il mondo non si accorga troppo del caos. La cosa buona? La community di sicurezza sta già lavorando per invalidare questi certificati. La cosa cattiva? Fino a quando non avremo la certezza che tutti i browser e i sistemi abbiano recepito la revoca, stiamo tutti navigando con un occhio bendato.
Insomma, tenete d’occhio i log e, se potete, fate un check ai vostri certificati. E ricordate: nel mondo digitale, la fiducia è una risorsa che si esaurisce molto più velocemente del credito sul cellulare.
Source: The Internet goes on high alert after discovery of 8 compromised TLS certs