I colossi della tecnologia si affrettano a bloccare otto certificati eMudhra che potrebbero consentire la creazione di siti falsi

I giganti della tecnologia hanno attivato blocchi d'emergenza contro otto certificati digitali vulnerabili che potrebbero consentire agli aggressori di impersonare siti web legittimi.

Entro martedì, gli sviluppatori di browser e altre importanti aziende tecnologiche avevano implementato protezioni contro otto certificati intermedi emessi dall'autorità di certificazione indiana eMudhra Limited, dopo aver scoperto che le relative chiavi private non erano sufficientemente sicure. 

L'ingegnere di Mozilla specializzato in crittografia Dennis Jackson ha scritto in un rapporto sull'incidente che Mozilla ha recuperato autonomamente le chiavi private quando ha ricevuto per la prima volta la segnalazione della vulnerabilità sabato, confermando che il processo di generazione delle chiavi era «difettoso» e «banale da sfruttare». 

Secondo Mozilla, un aggressore che intercettasse la connessione di un utente potrebbe usare certificati fraudolenti per impersonare un sito web legittimo e potenzialmente leggere o alterare le informazioni scambiate.

Sebbene molte aziende abbiano bloccato rapidamente i certificati interessati, la minaccia persiste per le applicazioni e i sistemi che non ricevono automaticamente tali blocchi.

In un post sul blog pubblicato martedì, il team di sicurezza di Mozilla Firefox ha detto di aver ricevuto la segnalazione sabato e di aver reagito bloccando i certificati interessati in Firefox tramite OneCRL, completando l'operazione lo stesso giorno. Ha poi rilasciato un aggiornamento per il browser su desktop e Android, proteggendo gli utenti con impostazioni personalizzate che impedivano loro di ricevere l'aggiornamento OneCRL. 

Cloudflare ha detto di essere venuta a conoscenza della segnalazione lunedì e di aver rilasciato martedì aggiornamenti per i client Cloudflare One e WARP e per Cloudflare Tunnel, insieme a misure di mitigazione per i propri servizi. 

Jackson ha detto che i certificati sono stati bloccati anche in Chrome da sabato, sui dispositivi Apple da lunedì e sulle piattaforme Microsoft da martedì.

«Il problema è stato segnalato responsabilmente agli archivi di attendibilità a valle il 19 ottobre. Molti hanno già rilasciato aggiornamenti o stanno procedendo al loro rilascio», ha detto. 

Articolo correlato: L'hack di Hugging Face espone il paradosso della cybersicurezza dell'IA open-weight

Jackson ha detto che non ci sono prove che Firefox, Chrome, Edge e Safari siano stati attaccati in questo modo, poiché nei log di trasparenza dei certificati non risultano voci relative ai certificati intermedi da aprile 2025. 

«Tuttavia, molti client al di fuori dell'ecosistema dei browser non applicano la trasparenza dei certificati. Non sappiamo se gli aggressori abbiano sfruttato la generazione difettosa delle chiavi per prendere di mira questi client», ha detto. 

L'incidente ricorda la violazione di DigiNotar del 2011, un grave attacco informatico durante il quale gli hacker compromisero l'autorità di certificazione olandese, emettendo 531 certificati SSL fraudolenti. 

I certificati illeciti permisero agli autori della minaccia di spacciarsi per Google e spiare circa 300.000 account Gmail iraniani.

Rivista: Gli agenti possono fare trading 24/7, ma Yat Siu avverte che potresti perdere l'accesso in qualsiasi momento