Scoperti certificati TLS non autorizzati per 1.1.1.1, il servizio DNS di Cloudflare

Redazione RHC : 10 Settembre 2025 07:55

La scorsa settimana è stato scoperto che un’autorità di certificazione poco conosciuta, chiamata Fina, ha emesso 12 certificati TLS non autorizzati per 1.1.1.1 (un popolare servizio DNS di Cloudflare) tra febbraio 2024 e agosto 2025, senza l’autorizzazione dell’azienda. I certificati potrebbero essere stati utilizzati per decrittografare query crittografate tramite DNS su HTTPS e DNS su TLS.

La diffusione di certificati sospetti è diventata nota quasi per caso: un ricercatore è stato il primo a segnalarlo nella mailing list dev-security-policy di Mozilla. I certificati sono stati emessi da Fina RDC 2020, una CA che fa capo a Fina Root CA. È diventato subito chiaro che Microsoft si fidava dei certificati Fina Root CA, il che significava che anche Windows e Microsoft Edge si fidavano di loro.

I rappresentanti di Cloudflare hanno subito attirato l’attenzione sulla situazione e confermato che i certificati erano stati emessi illegalmente.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Cloudflare non ha autorizzato Fina a emettere questi certificati. Dopo aver visto il rapporto nella mailing list sulla trasparenza dei certificati, abbiamo immediatamente avviato un’indagine e contattato Fina, Microsoft e l’organismo di vigilanza TSP di Fina, che potrebbero essere in grado di risolvere il problema revocando la fiducia in Fina o i certificati emessi erroneamente”, ha affermato Cloudflare.

Nella dichiarazione dell’azienda si sottolinea inoltre che il problema non riguarda i dati crittografati tramite WARP VPN. A loro volta, i rappresentanti di Microsoft hanno riferito di aver contattato il centro di certificazione e di aver chiesto un intervento immediato. L’azienda ha assicurato di aver già adottato misure per bloccare questi certificati.

I rappresentanti di Google, Mozilla e Apple hanno affermato che i loro browser non si sono mai fidati dei certificati Fina e che gli utenti non devono intraprendere alcuna azione. Il problema è che i certificati sono una parte fondamentale del protocollo TLS (Transport Layer Security). Contengono una chiave pubblica e informazioni sul dominio per il quale vengono emessi, mentre l’autorità di certificazione (l’organizzazione autorizzata a emettere certificati attendibili) detiene la chiave privata che verifica la validità del certificato.

La CA utilizza la propria chiave privata per firmare i certificati e i browser li verificano utilizzando chiavi pubbliche attendibili. In pratica, questo significa che chiunque possieda un certificato e la relativa chiave privata può impersonare crittograficamente il dominio per il quale è stato emesso.

Pertanto, il proprietario dei certificati di 1.1.1.1 potrebbe potenzialmente utilizzarli in attacchi man-in-the-middle, intercettando le comunicazioni tra gli utenti e il servizio DNS di Cloudflare. Di conseguenza, le terze parti in possesso di certificati 1.1.1.1 potrebbero decrittografare, visualizzare e modificare il traffico DNS di Cloudflare.

“L’ecosistema delle CA è un castello con molte porte: il fallimento di una CA può compromettere l’intero castello. Il comportamento scorretto delle CA, intenzionale o meno, rappresenta una minaccia significativa e continua per Cloudflare. Cloudflare ha contribuito a sviluppare e lanciare Certificate Transparency fin dall’inizio , il che ha portato alla scoperta di questo caso di emissione impropria di certificati”, ha affermato Cloudflare.

Verso la fine della scorsa settimana, Cloudflare ha pubblicato un rapporto dettagliato sull’incidente. Un audit condotto dall’azienda ha mostrato che il numero di certificati emessi impropriamente era 12, non i tre inizialmente segnalati. Peggio ancora, i primi erano stati emessi già a febbraio 2024.

I rappresentanti di Fina hanno commentato l’incidente in una breve e-mail, affermando che i certificati erano stati “emessi per test interni del processo di emissione dei certificati in un ambiente di produzione”.

L’autorità di certificazione ha dichiarato che si è verificato un errore durante l’emissione dei certificati di prova “a causa dell’inserimento errato degli indirizzi IP”. È stato sottolineato che, come parte della procedura standard, i certificati sono stati pubblicati nei registri di Certificate Transparency.

Fina ha assicurato che le chiavi private non hanno lasciato l’ambiente controllato dalla CA e sono state “distrutte immediatamente, prima che i certificati venissero revocati”. L‘azienda afferma che i certificati emessi in modo improprio “non hanno in alcun modo compromesso la sicurezza degli utenti o di altri sistemi”.

Tuttavia, Cloudflare ha affermato di prendere l’incidente molto seriamente, sottolineando che deve “presupporre che la chiave privata in questione esista e non sia sotto il controllo di Cloudflare”, poiché non c’è modo di verificare le affermazioni di Fina.

L’azienda riconosce che i rischi a cui sono stati esposti milioni di utenti Windows che si affidavano alla versione 1.1.1.1 sono in parte dovuti a Cloudflare. Cloudflare non ha implementato un controllo regolare dei log di Certificate Transparency che indicizzano l’emissione di ciascun certificato TLS e ha scoperto il problema troppo tardi.

“Abbiamo fallito tre volte. La prima volta, perché 1.1.1.1 è un certificato IP, ma il nostro sistema non ci ha avvisato di questi casi. La seconda volta, perché, anche se siamo stati avvisati delle emissioni di certificati come tutti i nostri clienti, non abbiamo implementato un filtraggio adeguato. Dato l’enorme numero di nomi e di emissioni che gestiamo, i controlli manuali non sono sufficienti. Infine, a causa di un monitoraggio troppo “rumoroso”, non abbiamo abilitato gli avvisi per tutti i nostri domini. Stiamo lavorando per correggere tutte e tre queste carenze”, scrive Cloudflare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli