eMudhra: i browser hanno bloccato i certificati compromessi, le altre app non sempre

Otto chiavi private di eMudhra, un’autorità che emette certificati digitali, sono state compromesse. Con quelle chiavi si possono firmare certificati HTTPS per siti altrui: un attaccante capace di intercettare la connessione potrebbe così impersonare il destinatario e leggere o modificare il traffico. Il rapporto pubblico del 20 ottobre mostra anche una differenza nella risposta: la protezione arriva con tempi e strumenti diversi secondo l’applicazione.

Firefox e Chrome bloccano i certificati coinvolti dal 17 ottobre; Apple è intervenuta il 19 e Microsoft il 20, secondo il resoconto pubblico dell’incidente. Mozilla ha distribuito il blocco a Firefox con le impostazioni standard in meno di tre ore dalla segnalazione, senza richiedere aggiornamento o riavvio. Le nuove versioni del browser coprono anche chi non aveva ricevuto quella protezione automatica.

Molti altri programmi non consultano gli stessi elenchi di revoca. Devono aggiornare il proprio archivio di certificati fidati o le librerie che lo contengono: sono già disponibili correzioni per Go, Python certifi e diversi componenti Rust, fra gli altri. Anche sullo stesso computer, avere il browser protetto non significa quindi aver chiuso il problema per ogni connessione HTTPS.