Microsoft e Mozilla bloccano i certificati emessi da DigiNotar

L’aggiornamento destinato a tutte le versioni di Windows che Microsoft ha messo in distribuzione da questa notte – identificabile grazie all'”etichetta” KB2607712 – ha come obiettivo quello di forzare la disabilitazione di tutti i certificati emessi dalla “certification authority” (CA) olandese DigiNotar, da settimane protagonista di una débacle probabilmente senza precedenti. L’intervento di Microsoft non mira solamente a disattivare gli oltre 500 certificati digitali “fasulli” (ved. questo nostro articolo) emessi dalla società in seguito all’aggressione subita dallo stesso cracker che si era reso autore, in passato, di operazioni simili, sebbene più limitate. Installando la patch KB2607712, infatti, il browser ed il sistema operativo non riterranno più affidabile la totalità dei certificati rilasciati da DigiNotar, compresi quelli utilizzati dal governo olandese.

Dopo l’installazione dell’aggiornamento, portandosi nel Pannello di controllo di Windows, quindi cliccando sull’icona Opzioni Internet, sulla scheda Contenuto, sul pulsante Certificati ed infine su Autori non attendibili, si potrà verificare come, in elenco, sia stata inserita proprio DigiNotar (con l’indicazione “Untrusted” ovvero “inaffidabile“).
Sia Internet Explorer che la versione Windows di Google Chrome fanno riferimento alla gestione dei certificati integrata in Windows cosicché, grazie all’intervento dei tecnici di Redmond, visitando un sito web che fa uso dei certificati DigiNotar, l’utente sarà immediatamente allertato.

Per quanto riguarda Firefox, invece, Mozilla ha rilasciato un aggiornamento (Firefox 6.0.2) che si comporta allo stesso modo bloccando in toto i documenti firmati da DigiNotar.

L’aggressore che ha rivendicato l’attacco a DigiNotar mediante un messaggio pubblicato sul servizio “Pastebin“, frattanto, ha precisato di essere in possesso degli strumenti per accedere ad ulteriori quattro famosissime autorità di certificazione. Avendo esplicitamente nominato GlobalSign, la società ha comunicato – in una nota ufficiale – di aver temporaneamente cessato l’emissione di nuovi certificati digitali intendendo procedere, prima, ad un’approfondita attività d’investigazione all’interno della propria infrastruttura. “Pubblicheremo aggiornamenti con la maggior frequenza possibile e ci scusiamo per l’inconveniente“, hanno dichiarato i responsabili di GlobalSign.

Il ventunenne che sta gettando lo scompiglio tra le CA di tutto il mondo ha poi lanciato una provocazione a Microsoft dichiarando di essere pienamente capace di rilasciare aggiornamenti Windows che appaiano uguali, in tutto e per tutto, a quelli veicolati dal colosso di Redmond. “Ho già effettuato il reverse engineering del protocollo di aggiornamento usato da Windows Update: conosco come viene letto XML via SSL (URL, numbero della knowledge base, hash SHA-1 del file) ed in che modo la firma digitale del file scaricato viene controllata con le API WinVerifyTrust,..“, ha affermato.

Altre informazioni sull’incidente occorso a DigiNotar sono disponibili facendo riferimento a questi articoli.