Scoperti certificati TLS non autorizzati per 1.1.1.1, il servizio DNS di Cloudflare

La scorsa settimana è stato scoperto che un’autorità di certificazione poco conosciuta, chiamata Fina, ha emesso 12 certificati TLS non autorizzati per 1.1.1.1 (un popolare servizio DNS di Cloudflare) tra febbraio 2024 e agosto 2025, senza l’autorizzazione dell’azienda. I certificati potrebbero essere stati utilizzati per decrittografare query crittografate tramite DNS su HTTPS e DNS su TLS.

La diffusione di certificati sospetti è diventata nota quasi per caso: un ricercatore è stato il primo a segnalarlo nella mailing list dev-security-policy di Mozilla. I certificati sono stati emessi da Fina RDC 2020, una CA che fa capo a Fina Root CA. È diventato subito chiaro che Microsoft si fidava dei certificati Fina Root CA, il che significava che anche Windows e Microsoft Edge si fidavano di loro.

I rappresentanti di Cloudflare hanno subito attirato l’attenzione sulla situazione e confermato che i certificati erano stati emessi illegalmente.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Cloudflare non ha autorizzato Fina a emettere questi certificati. Dopo aver visto il rapporto nella mailing list sulla trasparenza dei certificati, abbiamo immediatamente avviato un’indagine e contattato Fina, Microsoft e l’organismo di vigilanza TSP di Fina, che potrebbero essere in grado di risolvere il problema revocando la fiducia in Fina o i certificati emessi erroneamente”, ha affermato Cloudflare.

Nella dichiarazione dell’azienda si sottolinea inoltre che il problema non riguarda i dati crittografati tramite WARP VPN. A loro volta, i rappresentanti di Microsoft hanno riferito di aver contattato il centro di certificazione e di aver chiesto un intervento immediato. L’azienda ha assicurato di aver già adottato misure per bloccare questi certificati.

I rappresentanti di Google, Mozilla e Apple hanno affermato che i loro browser non si sono mai fidati dei certificati Fina e che gli utenti non devono intraprendere alcuna azione. Il problema è che i certificati sono una parte fondamentale del protocollo TLS (Transport Layer Security). Contengono una chiave pubblica e informazioni sul dominio per il quale vengono emessi, mentre l’autorità di certificazione (l’organizzazione autorizzata a emettere certificati attendibili) detiene la chiave privata che verifica la validità del certificato.

La CA utilizza la propria chiave privata per firmare i certificati e i browser li verificano utilizzando chiavi pubbliche attendibili. In pratica, questo significa che chiunque possieda un certificato e la relativa chiave privata può impersonare crittograficamente il dominio per il quale è stato emesso.

Pertanto, il proprietario dei certificati di 1.1.1.1 potrebbe potenzialmente utilizzarli in attacchi man-in-the-middle, intercettando le comunicazioni tra gli utenti e il servizio DNS di Cloudflare. Di conseguenza, le terze parti in possesso di certificati 1.1.1.1 potrebbero decrittografare, visualizzare e modificare il traffico DNS di Cloudflare.

“L’ecosistema delle CA è un castello con molte porte: il fallimento di una CA può compromettere l’intero castello. Il comportamento scorretto delle CA, intenzionale o meno, rappresenta una minaccia significativa e continua per Cloudflare. Cloudflare ha contribuito a sviluppare e lanciare Certificate Transparency fin dall’inizio , il che ha portato alla scoperta di questo caso di emissione impropria di certificati”, ha affermato Cloudflare.

Verso la fine della scorsa settimana, Cloudflare ha pubblicato un rapporto dettagliato sull’incidente. Un audit condotto dall’azienda ha mostrato che il numero di certificati emessi impropriamente era 12, non i tre inizialmente segnalati. Peggio ancora, i primi erano stati emessi già a febbraio 2024.

I rappresentanti di Fina hanno commentato l’incidente in una breve e-mail, affermando che i certificati erano stati “emessi per test interni del processo di emissione dei certificati in un ambiente di produzione”.

L’autorità di certificazione ha dichiarato che si è verificato un errore durante l’emissione dei certificati di prova “a causa dell’inserimento errato degli indirizzi IP”. È stato sottolineato che, come parte della procedura standard, i certificati sono stati pubblicati nei registri di Certificate Transparency.

Fina ha assicurato che le chiavi private non hanno lasciato l’ambiente controllato dalla CA e sono state “distrutte immediatamente, prima che i certificati venissero revocati”. L‘azienda afferma che i certificati emessi in modo improprio “non hanno in alcun modo compromesso la sicurezza degli utenti o di altri sistemi”.

Tuttavia, Cloudflare ha affermato di prendere l’incidente molto seriamente, sottolineando che deve “presupporre che la chiave privata in questione esista e non sia sotto il controllo di Cloudflare”, poiché non c’è modo di verificare le affermazioni di Fina.

L’azienda riconosce che i rischi a cui sono stati esposti milioni di utenti Windows che si affidavano alla versione 1.1.1.1 sono in parte dovuti a Cloudflare. Cloudflare non ha implementato un controllo regolare dei log di Certificate Transparency che indicizzano l’emissione di ciascun certificato TLS e ha scoperto il problema troppo tardi.

“Abbiamo fallito tre volte. La prima volta, perché 1.1.1.1 è un certificato IP, ma il nostro sistema non ci ha avvisato di questi casi. La seconda volta, perché, anche se siamo stati avvisati delle emissioni di certificati come tutti i nostri clienti, non abbiamo implementato un filtraggio adeguato. Dato l’enorme numero di nomi e di emissioni che gestiamo, i controlli manuali non sono sufficienti. Infine, a causa di un monitoraggio troppo “rumoroso”, non abbiamo abilitato gli avvisi per tutti i nostri domini. Stiamo lavorando per correggere tutte e tre queste carenze”, scrive Cloudflare.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.