Actualizacion de Microsoft con revocación masiva de certificados

Hoy Microsoft ha publicado en forma de actualización automática su
tercera revocación masiva en 10 años… y la segunda de 2011. Y no
solo ha avanzado en número sino en “calidad” de las revocaciones. El
incidente del compromiso de DigiNotar ha disparado las dudas sobre el
funcionamiento PKI. Y lo peor es que parece que lo interesante está
por llegar.

VeriSign, la empresa líder en emisión de certificados para Internet,
protagonizó en marzo de 2001 uno de los fiascos más importantes de su
historia. Emitieron dos certificados a un impostor que se hizo pasar por
trabajador de Microsoft. Esto hubiera permitido, por ejemplo, firmar
programas o cualquier software malicioso como si fueran aplicaciones
originales de Microsoft. McAfee y Symantec se apresuraron en anunciar
que sus antivirus cuentan con actualizaciones para detectar los
certificados fraudulentos, como si de un virus se tratara. Los
certificados fueron revocados en la actualización de Microsoft MS01-017.
El origen del fallo fue el protocolo de validación, usando la ingeniería
social.

Este era el aspecto por defecto (hasta marzo de 2011) del manejador de
certificados de cualquier Windows (ejecutar certmgr.msc en la línea de
comandos):

toridad secundaria de Comodo en el sur de Europa.
El atacante utilizó estos datos para hacerse pasar por esa autoridad
secundaria y emitir certificados fraudulentos de páginas como
login.live.com, mail.google.com, www.google.com, login.yahoo.com,
login.skype.com, addons.mozilla.org…

Si en la ocasión anterior se revocaron certificados de firma de código,
era la primera vez que se hacía una revocación masiva de certificados
SSL y a nivel de dominios importantes.

Este era el aspecto por defecto (hasta septiembre de 2011) del manejador
de certificados de cualquier Windows:

tos de Comodo, compromete por completo la compañía DigiNotar
(de Vasco) y se detectan certificados de decenas de dominios
importantes. La “calidad” de la revocación aumenta, y no sólo se
invalidan certificados concretos por “fraudulentos” sino a la entidad
entera (sus certificados raíz) por “no confiables”. El atacante entró
hasta el último recodo de la empresa.

Este es el aspecto del manejador de certificados de cualquier Windows
actual:

to la confianza en DigiNotar, probablemente desaparezca
o, como se suele hacer, cambiará de nombre para intentarlo de nuevo.

GlobalSign, otra importante empresa certificadora, acaba de confirmar
que ha sufrido una intrusión.

El atacante iraní que afirma ser el autor del compromiso de DigiNotar,
también asegura tener acceso a otras entidades certificadoras y la
posibilidad de emitir nuevos certificados falsos.

Aunque PKI esté concebida para sufrir este tipo de revocaciones
ocasionales, el hecho de que se utilicen con tanta asiduidad merma la
confianza en el modelo. Además en dispositivos móviles, por ejemplo,
cada vez más utilizados para navegar, no es tan sencillo actualizar y
revocar certificados…

Habrá que estar atentos.
 Fuente