Según anunciamos, Comodo reconoció que un atacante con IP de Irán se hizo con usuario y contraseña de una autoridad secundaria de Comodo en el sur de Europa. El atacante utilizó estos datos para hacerse pasar por esa autoridad secundaria y emitir certificados fraudulentos de páginas como login.live.com, mail.google.com, http://www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org… Veamos algo más sobre estos certificados y qué deben hacer los usuarios y administradores.
Lo primero que hizo Comodo fue incluirlos en una lista de revocación, disponible desde http://crl.comodo.net/UTN-USERFirst-Hardware.crl. Esta lista puede descargarse e importarse manualmente en el sistema o programa (Windows, Mac, Firefox…). Esto incluiría los certificados comprometidos en la lista de inválidos. Si fueran empleados contra una víctima, a ésta le aparecería a la hora de navegar por la página en cuestión, que el certificado no es válido (otra cuestión es que el usuario haga caso a esta advertencia…).
Importar una lista de revocación manualmente
La lista de revocación CRL es eso: una lista (que puede o no puede estar actualizada) y que comprueba la validez de un certificado. Es un método «offline» de comprobación manual. Existe para remediarlo un protocolo que, basado en HTTP, comprueba «al vuelo» la validez de los certificados y se llama Online Certificate Status Protocol (OCSP). OCSP sirve para comunicarse con los servidores de revocación y comprobar el estado de los certificados. No todas las autoridades lo utilizan. Ahora bien, también se da la condición de que el navegador debe estar configurado para usar OCSP y aprovechar esa característica.
Activar OCSP
Firefox 3 y los nuevos Firefox 4 e Internet Explorer 9, cuentan con OCSP activo por defecto. Así que, en teoría, estarían a salvo de estos certificados fraudulentos desde que Comodo los calificó como tal, sin necesidad de importar la lista a mano. Para el resto de versiones, se debe activar manualmente la comprobación de revocación. Aun así, no está de más aplicar las actualizaciones necesarias para bloquear los certificados fraudulentos.
Importar una lista de revocación automáticamente
Esto se consigue en Firefox y Chrome, simplemente actualizando la versión. En Windows, se debe aplicar la actualización KB2524375 (aparecerá en Windows Update). Esto importará los certificados automáticamente.
No es la primera vez
Al comprobar la lista de certificados revocados en Windows, he observado que no está vacía, y recordado por qué.
VeriSign, la empresa líder en emisión de certificados para Internet, protagonizó en marzo de 2001 uno de los fiascos más importantes de su historia. Emitieron dos certificados a un impostor que se hizo pasar por trabajador de Microsoft. Esto hubiera permitido, por ejemplo, firmar programas o cualquier software malicioso como si fueran aplicaciones originales de Microsoft. McAfee y Symantec se apresuraron en anunciar que sus antivirus cuentan con actualizaciones para detectar los certificados fraudulentos, como si de un virus se tratara. Los certificados serían revocados en una posterior actualización de Microsoft. El origen del fallo fue el protocolo de validación. Desde entonces pueden ser vistos en el repositorio de certificados revocados de los sistemas Windows. De hecho, este es el aspecto por defecto del manejador de certificados de cualquier Windows actual (ejecutar certmgr.msc en la línea de comandos):
Tras la actualización de estos días, este es el aspecto que debería mostrar:
Alternativas
El modelo de confianza de las autoridades certificadoras funciona, aunque como se ha comprobado, mantiene el punto débil en las autoridades. Estas pueden ser objetivo de atacantes, pueden cometer errores o, sujetas a un negocio, a veces sacrificar calidad por cantidad. Una alternativa (ni mejor ni peor, solo una alternativa con sus pros y sus contras) a este modelo de confianza es GPG, por ejemplo, en el que no existe una autoridad que emita confianza sino que son los propios usuarios entre sí los que «firman» certificados para darles «validez». Es la propia comunidad la que actúa firmando otras claves GPG de usuarios. Tiempo atrás se realizaban «quedadas» en los que los usuarios de GPG se encontraban físicamente para firmarse mutuamente las claves GPG que llevaban en disquetes.
ssantos@hispasec.com
Deja una respuesta