Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Scintille tra Mozilla e WoSign: “i loro certificati sono inaffidabili”

Set 28, 2016 Marco Schiaffino News, RSS, Tecnologia, Vulnerabilità 0

Gli sviluppatori di Firefox lamentano una serie di inadempienze e comportamenti scorretti da parte dell’authority di certificazione made in China.

Un vero “J’Accuse” che prende di mira la società di certificazione digitale WoSign. A pubblicarlo è stata Mozilla, che nel lungo e dettagliato report indica una serie di mancanze e comportamenti scorretti della società cinese, attiva come Certificate Authority (CA).

La conclusione è lapidaria: “Il team di Mozilla ha perso ogni fiducia nelle capacità di WoSign di svolgere adeguatamente le sue funzioni di autorità di certificazione”. La reazione prospettata è decisamente pesante: Mozilla intende infatti di “bannare” WoSign per un anno.

Ma quali sono i comportamenti di WoSign che hanno fatto alzare la pressione fino a questo punto? Nel documento, il team di Mozilla indica una serie di comportamenti poco trasparenti, partendo dal sospetto che la CA cinese abbia retrodatato dei certificati SHA-1.

Per sostenere le accuse, il team di Mozilla ha portato dati e analisi decisamente approfondite.

La questione è legata al fatto che l’algoritmo è considerato da tempo troppo “debole”, al punto che molti browser hanno deciso di non accettare più i certificati di questo tipo emessi dopo il 1 gennaio 2016.

L’accusa nei confronti di WoSign è di aver emesso 62 certificati SHA-1 oltre il termine, retrodatandoli al 20 dicembre 2015 (una domenica) per poterli utilizzare comunque.

La vicenda dei certificati con la data taroccata, però, non è l’unica accusa in capo a WoSign. L’altra questione sul tavolo è quella dell’acquisizione di StartCom, un’altra CA entrata nell’orbita di WoSign.

Secondo Mozilla, la società cinese non avrebbe adempiuto agli obblighi di comunicazione e trasparenza che sono previsti in caso di acquisizione di un’altra authority di certificazione.

Se a tutto questo si aggiungono dei precedenti non proprio edificanti come la validazione di un certificato digitale di GitHub a uno studente della Florida, le perplessità di Mozilla nel collaborare con la CA cinese appaiono più che giustificate.

Condividi l'articolo