Falha em certificados digitais coloca internet em alerta
Falha em certificados digitais coloca internet em alerta
Certificados falsos poderiam ser usados para se passar por sites e serviços legítimos (Imagem: Vitor Pádua/Tecnoblog)
Resumo
Oito certificados tiveram suas chaves privadas comprometidas.
Falha poderia permitir a criação de certificados falsos para se passar por sites e interceptar conexões.
Principais navegadores já reagiram, mas sistemas Linux, aplicativos e dispositivos de IoT podem levar mais tempo para serem protegidos.
A descoberta de oito certificados digitais comprometidos da autoridade certificadora eMudhra colocou empresas e pesquisadores de segurança em alerta. As chaves privadas eram tão fracas que poderiam ser recuperadas e usadas para emitir certificados falsos capazes de se passar por sites e serviços legítimos.
Seis dos certificados intermediários afetados eram usados para TLS, tecnologia por trás das conexões HTTPS, enquanto outros dois eram destinados à assinatura de código. Mozilla, Google, Apple e Microsoft receberam o alerta no sábado (17), e fabricantes começaram a bloquear os certificados comprometidos pouco depois.
Por que os certificados comprometidos são perigosos?
Exploração da falha exigiria interceptar o tráfego entre usuário e serviço (imagem: Vitor Pádua/Tecnoblog)
O HTTPS usa certificados digitais para comprovar que o usuário está realmente conectado ao site que pretende acessar. Eles funcionam como uma espécie de documento de identidade reconhecido pelo navegador e ajudam a impedir que outro servidor se passe pelo original.
Com acesso às chaves privadas, alguém poderia criar certificados falsos para sites e serviços que seriam aceitos como legítimos por sistemas vulneráveis. Um pesquisador identificado como Wayne demonstrou ter acesso às oito chaves ao usá-las para assinar digitalmente uma mensagem enviada às empresas responsáveis pelos principais navegadores e sistemas. Segundo a Mozilla, seus engenheiros conseguiram recuperar as mesmas chaves pouco depois, confirmando a falha.
Isso não significa que um invasor poderia interceptar qualquer conexão pela internet. Segundo o Ars Technica, ainda seria necessário interceptar o tráfego entre a vítima e o serviço para explorar os certificados em um ataque.
Como os navegadores reagiram à falha?
A Mozilla afirma que concluiu o bloqueio dos certificados no Firefox menos de três horas após receber o alerta. A empresa também lançou o Firefox 158.0.1 para ampliar a proteção aos usuários. Chrome e outros navegadores também passaram a rejeitar os certificados comprometidos.
Havia uma exceção no momento da publicação: o Microsoft Edge no Windows 10 ainda conseguia estabelecer conexão com alguns servidores vulneráveis. A Microsoft foi questionada sobre o caso, mas não detalhou quando aplicaria o bloqueio nesse sistema.
Até o momento, não há relatos públicos de certificados fraudulentos utilizados em ataques. Esse tipo de medida já foi adotado em outras situações. O Chrome, por exemplo, deixou de confiar em certificados da Entrust após o Google apontar problemas na atuação da autoridade certificadora.
Correção pode demorar em sistemas e dispositivos antigos
O principal problema agora está fora dos navegadores. Distribuições Linux, aplicativos e dispositivos conectados podem continuar confiando nas credenciais comprometidas até receberem atualizações. O engenheiro de criptografia Filippo Valsorda disse ao Ars Technica que o trabalho de limpeza pode ser maior do que o provocado pelo Heartbleed, grave vulnerabilidade descoberta em 2014, pela variedade de sistemas que precisam ser atualizados.
Para usuários comuns, a principal recomendação é manter navegador, sistema operacional e aplicativos atualizados. Serviços como Signal e WhatsApp não dependem do TLS para proteger o conteúdo das mensagens e, por isso, não são afetados da mesma forma.
Falha em certificados digitais coloca internet em alerta
Falha em certificados digitais coloca internet em alerta
Fonte: Tecnoblog