El hacker Iraní, la nota de prensa en Pastebin, Diginotar, GloblaSign, StartSSL y la FOCA. Ahí es ná el tomate.

Este año en Las Vegas no tuve mucho tiempo libre para charlas, pero tenía claro que no quería perderme la presentación de Moxie Marlinspike con el que disfruto y aprendo mucho. Al final, casualidades del destino, acabé viendo su ponencia dos veces, una en BlackHat y otra en Defcon, para que me quedaran absolutamente claros los conceptos.




En la presentación Moxie presenta el problema de los certificados digitales de forma muy clara, con situaciones que reducen al absurdo el sistema actual de certificados. Para ello, tras contar el caso del hacker de Comodo, es decir, el del hacker iraní que consiguió generar certificados digitales falsos para Gmail, Live, Google, etc... tras hackear máquinas de empleados de Comodo - y dejar claro que no podía haber sido demasiado sofisticado el ataque con mucho humor– hacía la pregunta... ¿Puedo dejar de confiar en Comodo y seguir disfrutando de Internet? La respuesta es NO.

Si dejas de confiar en una entidad de certificación, dejas de poder acceder a todos los sitios firmados por esa entidad, ya que los sitios están firmados por solo una entidad de certificación. Es decir, una vez que una entidad de certificación ha emitido 1.000 certificados digitales a 1.000 sitios, tienes 1.000 sitios atados a ella. Si se deja de confiar en una entidad de certificación, se apaga una gran parte de Internet.

La única alternativa que queda es seguir confiando ad-infinitum en la entidad certificadora y buscar alguna forma de localizar y exterminar todos los certificados maliciosos que hayan podido ser generados por el atacante. Lo más curioso es que, tras suceder el incidente de Comodo se pudo ver que el sistema pensado para revocar los certificados, OCSP no valía para nada ante ataques de man in the middle, lo que obligó a Microsoft, a Apple tanto en OSX como en iOS, a Debian, y a todo el mundo, a sacar actualizaciones de seguridad para bloquear esos certificados, lo que dejó claro que OCSP, tal y como estaba pensado, tenía utilidad cero.

Pasados unos meses de todo aquel maremagnum con las entidades de certificación, nos topamos de nuevo con el caso DigiNotar, donde, al parecer el mismo hacker, habría llegado a generar certificados digitales falsos hasta para la CIA, el MI6 o el Mossad, lo que provocó que la entidad DigiNotar haya sido intervenida por el gobierno por la criticidad de los hechos. Mientras, las compañías tecnológicas apretaron el acelerador para sacar nuevas actualizaciones de seguridad para bloquear la lista de certificados falsos, como hizo Microsoft o Firefox.

Apple por su parte se mantiene inmóvil, y deja que sus usuarios sigan siendo vulnerables a estos certificados falsos, sin que parezca importarle que además el sistema de revocación de certificados de Mac OS X Lion no funcione, por lo que ni el propio usuario puede dejar de confiar completamente en todos los certificados emitidos por una entidad que el usuario revoque...  Por supuesto, los iPad, iPhone e iPod Touch, todos ellos con el sistema iOS, tampoco han sido actualizados, pero... ¿qué más da? Si ni siquiera se puede revisar manualmente un certificado digital o acceder a la lista de entidades de certificación raíz en el dispositivo para revocarlas. Apple es diseño...

Y así andamos, en medio del caso DigiNotar, cuando el mismo hacker, al que se le ha bautizado como el hacker de Comodo ha hecho una nota de prensa por Pastebin, en la que dice tener control de otras entidades de certificación como por ejemplo GlobalSign - que ha dejado de emitir certificados ipso facto – y StartSLL, que se le ha escapado por los pelos porque el CEO estaba sentado detrás de la máquina para revisar manualmente la emisión de todos los certificados.

¿StartSSL? Glubs.

StartSSL es la compañía a la que nosotros le compramos los certificados digitales con los que se firma FOCA. Si revisas el certificado con el que se firma la FOCA, verás que está emitido por esta compañía y que su fecha de caducidad se ha pasado. No, no te preocupes, nosotros lo compramos por un periodo de tiempo y tenemos que renovarlo no es que te hayan hackeado - aún - y ahora, justo cuando la FOCA 3 está lista para salir, estamos teniendo problemas en el proceso de renovación... y ya sabemos porqué. Hoy esperamos recibir el nuevo certificado de firma de código y poder poner la FOCA 3 en circulación hoy mismo o mañana.

La pregunta que todo el mundo se hace es... ¿cómo se ha colado el hacker en estas entidades?

Pues la respuesta parece ser despejada a medias en su nota de prensa. Está claro que el tipo, en sus intrusiones mete un RAT si puede. Así es como la gente de Comodo dijo que se consiguió robar la clave de firma del registrador. En su nota de prensa en Pastebin dice tener un rootkit, para esas cosas y algún 0-day para colarlo, aunque si los empleados de la compañía no están totalmente entrenados para ser cuidadosos, con una búsqueda de las personas y direcciones de correo que trabajan en la compañía con un poquito de Hacking con Buscadores, un ataque dirigido uno a uno a ellos, un documento adjunto por correo electrónico abierto en el momento equivocado y troyano que te comiste, como le pasó a la RSA con al parecer un archivo XLS. Y es que, como decían en el twitter de 48bits... “la mejor defensa es un buen attachment”.

Al final, ahora que ha sucedido el problema con Comodo, con DigiNotar, ahora con GlobalSign y casi con StartSSL, si se deja de confiar en todas las entidades sospechosas, Internet se irá apagando poco a poco... ¿Hay que darle la razón a Moxie y cambiar hacia un sistema como Convergence?

Saludos Malignos!