La recente compromissione delle chiavi private di eMudhra, un’autorità di certificazione indiana, ha sollevato preoccupazioni significative nel settore della sicurezza informatica. Questa situazione ha reso non affidabili oltre 60 milioni di certificati digitali rilasciati dall’azienda, costringendo a un massiccio intervento di pulizia.
eMudhra, che si vantava di aver emesso più di 60 milioni di certificati digitali a sostegno di un mondo di fiducia digitale, ha generato panico nella comunità. La notizia della vulnerabilità è stata diffusa martedì, in un post di Dennis Jackson, membro del team di ingegneria crittografica di Mozilla. Jackson ha riportato che “sabato 17 ottobre, alle 20:06 UTC, Mozilla ha ricevuto una segnalazione da un membro della comunità riguardo alla compromissione delle chiavi private associate a otto certificati intermedi di eMudhra”. Queste chiavi possono consentire attaccanti di emettere certificati HTTPS fraudolenti per siti web di cui non hanno il controllo.
Cloudflare ha sottolineato che “un attaccante può creare un certificato contraffatto per qualsiasi dominio e utilizzarlo per impersonare server, intercettare o modificare il traffico”. In seguito a questi eventi, Mozilla, Chrome e Apple hanno preso misure per risolvere il problema, impedendo ai loro browser di affidarsi a questi certificati, a condizione che gli utenti installino un aggiornamento. Inoltre, eMudhra ha revocato i certificati compromessi, mentre vari progetti open source hanno già rilasciato aggiornamenti per non riconoscere i certificati di eMudhra.
Tuttavia, rimane un problema: i certificati firmati con queste chiavi private sono ancora in circolazione e molte piattaforme si basano su di essi. I produttori di browser sembrano attrezzati per rilevare e respingere certificati non validi, ma altre entità potrebbero non avere le stesse capacità. Il sviluppatore Geoffrey Huntley ha offerto consigli su come automatizzare il processo di verifica della dipendenza da certificati firmati da eMudhra.
Nonostante le indagini in corso, eMudhra non ha ancora risposto alle richieste di chiarimenti riguardo all’incidente e le proprie pratiche di sicurezza. Questo aspetto è di particolare interesse, poiché il ricercatore di sicurezza Scott Helme ha analizzato i certificati di eMudhra e ha scoperto che una delle chiavi private utilizzate corrispondeva al numero “4”. “Non è un numero che inizia con 4, né il numero 4 seguito da qualche centinaio di cifre casuali, solo, 4… Un’altra è 56, e un’altra ancora è 115. Lo so, perché le ho recuperate dai loro certificati pubblici sul mio laptop in meno di un secondo”, ha dichiarato Helme.
Altri ricercatori hanno rinvenuto chiavi private come 66, 155, 156, 230 e 237. Questi numeri costituiscono chiavi enormemente inadeguate, poiché sono facili da indovinare, rendendo tutti i certificati emessi da eMudhra vulnerabili ad attacchi di forza bruta. Helme ha spiegato che “una chiave privata P-384 dovrebbe essere un numero casuale di 384 bit, il che offre circa 2384 possibilità (ovvero circa 10115), quindi nessuno sarà mai in grado di cercare in quel modo”.
La situazione è ancora in fase di sviluppo e ulteriori aggiornamenti saranno forniti non appena disponibili.
