L’Extended Validation (EV) è un certificato SSL/TLS conforme a X.509 in cui viene garantita anche l’identità legale del titolare.
Quando si acquista un certificato TLS si hanno fondamentalmente tre opzioni.
Continua a leggereTag: certificato
-
Obsolescenza di SHA-1
I problemi di collisione hanno provocato l’inizio del ritiro dell’algoritmo di hash SHA-1.
I maggiori produttori di browser hanno delineato i passi che porteranno i certificati con hash SHA-1 a non essere più considerati attendibili. (altro…)
-
Certificato di XBOXLIVE.COM compromesso
Microsoft ha comunicato di aver inavvertitamente divulgato la chiave privata del certificato wildcard *.xboxlive.com
Il certificato può essere utilizzato per validare connessioni TLS, ma non può essere utilizzato per firmare altri certificati o firmare dei programmi, quindi il rischio è limitato alla validità dei certificati di tutti gli host di xboxlive.com
È, quindi, necessario prestare particolare attenzione ai siti del dominio xboxlive.com che presentano un certificato apparentemente valido e firmato da Microsoft. (altro…)
-
Let’s Encrypt
Ieri è partita la beta pubblica di Let’s Encrypt.Il sito rilascia gratuitamente, senza se e senza ma, certificati TLS firmati da una CA riconosciuta dalla PKI, con l’eccezione di Windows XP.
In altre parole, i certificati di Let’s Encrypt sono riconosciuti dai browser, possono essere utilizzati senza problemi dalle società e se ne possono prendere un numero arbitrario. (altro…)
-
eDellRoot CA preinstallata da Dell
Alcuni modelli di computer Dell tra cui XPS 15, Latitude E7450, Inspirion 5548, Inspirion 5000, Inspiron 3647, e Precision M4800 venduti di recente hanno preinstallato una CA completa di chiave privata che può firmare certificati utilizzabili per verificare l’attendibilità di un sito o di un programma.
Un attaccante potrebbe utilizzare quella CA per truffare gli utenti Dell attraverso siti civetta o programmi apparentemente legittimi. In entrambi i casi, chi ha installato la CA eDellRoot vedrebbe programmi e siti contraffatti come legittimi. (altro…)
-
17 nuove CA root per Windows
Nei giorni scorsi Microsoft ha aggiornato l’elenco delle Certificate Authority (CA) root riconosciute da Windows.
Questa operazione di solito non riceve molta pubblicità da Redmond, ma influenza moltissimo la sicurezza dei computer. (altro…)
-
SHA-1
La crescita della potenza di calcolo crea problemi ai vecchi algoritmi di sicurezza o di hash.
L’algoritmo MD5 era stato reso obsoleto a fine 2008, ora è il turno di SHA-1.
Il protocollo https fa un ampio uso degli algoritmi di hash, ma se è relativamente facile calcolare delle collisioni che permettono di calcolare il dato originale partendo dall’hash, la sicurezza di https è compromessa. (altro…)
-
Risolvere gli errori delle CA intermedie
Sempre più siti adottano certificati validati dalla PKI, grazie anche a fornitori molto convenienti.
Alcuni certificati acquistati necessitano di una serie di CA oppure di certificati intermedi affinché il client li possa verificare correttamente.
Esistono tool online come quello di SSL Hopper che permettono di verificare se il server dichiara correttamente la catena di certificati che validano quello che si sta utilizzando. (altro…)
-
Revoca dei certificati
Heartbleed ha provocato una valanga di revoche di certificati che durerà ancora per qualche tempo.
Il metodo più vecchio per verificare se un certificato è stato revocato è la Certificate Revocation List (RFC3280). In tempi più recenti viene utilizzato l’Online Certificate Status Protocol (RFC6960), che si basa su http (senza rendere obbligatoria la cifratura dei dati) ed evita al client di dover decodificare un certificato di revoca.
La verifica online di un certificato in molti contesti è il sistema migliore, specialmente in situazioni come quella creata da Heartbleed in cui i certificati vengono revocati velocemente a causa della compromissione di quelli vecchi. Tuttavia questo metodo non è esente da problemi, in quanto il server che gestisce le revoche potrebbe essere non raggiungibile oppure il browser potrebbe essere tratto in inganno ed utilizzare un server configurato ad arte. (altro…)
-
Certificato SSL: perché no?
I certificati SSL sono oramai disponibili anche a prezzi assai abbordabili.
Da NameCheap (uso quel fornitore come esempio, ma si trovano anche altrove) si possono prendere i Comodo a 7,95 dollari/anno o i GeoTrust a 9,49 dollari/anno. Con questi prezzi la domanda da porsi è se abbia ancora senso usare dei certificati auto emessi.
Ci sono situazioni in cui i certificati di questo tipo non possono essere utilizzati. Ad esempio, se si vuole certificare non un host, ma tutti gli host di un intero dominio si sale di prezzo di un ordine di grandezza.
(altro…) -
Verifica dei certificati SSL
Uno studio ha dimostrato che non è una bella idea verificare i certificati con chiamate alle librerie, ma è meglio delegare il compito a chi lo sa far bene, come il browser.
Il problema risiede nel modo in cui vengono utilizzate le API delle librerie, non si tratta, quindi, di una vulnerabilità intrinseca delle librerie medesime.
Secondo lo studio citato, le diverse API SSL espongono funzioni di basso livello e non offrono la possibilità di chiamare una serie di funzioni cappello con pochi e chiari parametri che permettono di effettuare la verifica di un certificato in maniera affidabile. Spesso i programmatori, vuoi per leggerezza, vuoi per poca informazione, interpretano male la documentazione delle funzioni e finiscono per commettere errori che espongono gli applicativi a vulnerabilità serie.
Un’ipotesi formulata dalla pubblicazione è che in almeno un caso, quello dell’applicazione Android di Chase Bank, la vulnerabilità introdotta a livello applicativo sia il retaggio di un codice di test che bypassa la verifica del certificato rimasto per errore anche nel codice finale. (via Bruce Schneier)
-
Compromesso un certificato di Adobe
Adobe ha annunciato che uno dei suo certificati utilizzati per firmare i programmi per Windows è stato compromesso.
Il problema riguarda tutti i programmi Adobe per la piattaforma Windows e tre applicazioni Adobe Air che girano sia su Windows sia su Macintosh: Adobe Muse, Adobe Story AIR e Acrobat.com desktop services.
Secondo il rapporto preliminare pubblicato da Adobe, uno dei server utilizzati per la compilazione dei programmi sarebbe stato infettato da malware che ha permesso a terzi di prendere il controllo del server. Gli attaccanti sono riusciti a compilare del software realizzato da loro e ad utilizzare i protocolli interni di Adobe per firmare digitalmente il software fraudolento. Non ci sarebbe stato un accesso diretto degli attaccanti alle chiavi private dei certificati.
Uno dei programmi firmati con il certificato di Adobe è pwdump7 v7.1, ma F-Secure ha 5127 campioni di programmi firmati con il certificato compromesso di Adobe.
Il certificato compromesso verrà revocato il 4 ottobre 2012 alle 13:15 PDT (20:15 GMT). Spostare questo certificato nel gruppo dei certificati non fidati non mitiga il problema.
Adobe sta firmando di nuovo tutti i programmi e li sta ridistribuendo: è, quindi, particolarmente importante aggiornare i programmi di Adobe quando appare l’avviso che è disponibile un aggiornamento.
Si potrebbe approfittare di questa occasione per sostituire Adobe Reader con un altro lettore di PDF.
Adobe ha approntato una pagina di supporto per chiarire i dettagli di questo incidente.
Aggiornamento 1/10/2012: Per trovare i file firmati con il certificato compromesso, utilizzare un programma che possa cercare stringhe esadecimali e cercare “15e5ac0a487063718e39da52301a0488” (via Mikko Hypponen)