Trustico fuerza la revocación de 23.000 certificados de Symantec

‘Trustico allows customers to generate a Certificate Signing Request and Private Key during the ordering process,» the statement read. «These Private Keys are stored in cold storage, for the purpose of revocation.’

Esta es una mala práctica ya de por si, ya que esta información debería generarse en el propio sistema que va a alojar el certificado y ser secreta. Pero según afirma Jeremy Rowley, vicepresidente ejecutivo de DigiCert, en un foro de politicas de seguridad de Mozilla, hace apenas un mes Trustico se dirige en un correo a DigiCert (quien dirige ahora la división de certificados de Symantec) pidiendo la revocación de más de 50.000 certificados. 

Tras un cruce de correos, Trustico acaba reconociendo estar aún en posesión de las claves privadas de estos certificados y que de alguna manera estas habían sido comprometidas. Al pedir DigiCert evidencias de esto último, el CEO de Trustico responde con un correo adjuntando 23.000 claves privadas en su posesión. La comunicación de las claves privadas a través de este correo dispara la revocación de los certificados debido a las reglas de certificación de DigiCert, concretamente el punto 4.9.1.3.- Circumstances for Revocation. De esta forma Trustico fuerza la revocación de los certificados al comunicar las claves privadas por correo, sin tener que dar pruebas de su compromiso.

Este hecho que traerá trabajo para los navegadores de Internet, deja en entredicho la seguridad de muchos sitios web y comercios electrónicos que pudieran estar gestionados por esta compañía, y que seguro que nos traerá noticias en los próximos días.