Nel 1994, Netscape prese una decisione che divenne il fondamento della fiducia su Internet, e cambiò il mondo per sempre. All'epoca, il loro browser Navigator stava decollando, ma erano i primi giorni del Web, quando tutte le comunicazioni avvenivano in chiaro. Netscape prese l'iniziativa, costruì il protocollo SSL e, con esso, il modello di fiducia che utilizziamo ancora oggi… nel bene e nel male.
Il modello di fiducia era semplice: a) un gruppo selezionato di organizzazioni è autorizzato a emettere certificati per i siti web, mentre b) noi ci fidiamo di loro senza riserve. Questa semplicità ha alimentato la crescita esplosiva del Web.
Le cose andarono avanti così per un po', ma alla fine l'ecosistema divenne ingestibile. Nel 2011 ci fu un attacco a una piccola autorità di certificazione (CA) chiamata DigiNotar, che portò all'emissione di centinaia di certificati fraudolenti per alcuni dei siti web più grandi al mondo. La situazione era così grave che non riuscivamo nemmeno a tracciare in modo affidabile chi fosse stato colpito. Lo scenario era insostenibile, ma portò alla creazione di un nuovo paradigma, quello della trasparenza nei sistemi di sicurezza.
La Certificate Transparency rende le CA responsabili
Progettata da Google, la Certificate Transparency (CT) è un meccanismo che tiene traccia di tutti i certificati pubblici emessi dalle CA. L'idea è che, se dobbiamo fidarci di queste organizzazioni per gestire la fiducia per nostro conto, tanto vale avere piena visibilità su ciò che stanno facendo. La CT è diventata obbligatoria per i siti web nel 2018 e ha spostato nuovamente l'equilibrio di potere verso il centro.
La visibilità ha fatto tutta la differenza e ci ha permesso di continuare a migliorare e perfezionare il modo in cui viene governata la PKI pubblica. Fondamentalmente, ha permesso a ogni organizzazione nel mondo di monitorare l'attività di emissione per le proprie proprietà in tempo reale. Armate di un elenco dei propri nomi di dominio registrati, le organizzazioni possono ora monitorare l'attività CT dell'intero mondo per trovare i certificati che le riguardano. I vantaggi sono duplici: le organizzazioni possono a) ottenere visibilità sulla propria attività e anche b) avere visibilità su eventuali emissioni errate, qualora si verifichino.
La Certificate Transparency come meccanismo di scoperta dei servizi
La CT non offre solo visibilità sui certificati emessi, ma anche, indirettamente, sui servizi in esecuzione. Questo è possibile perché ogni certificato include un elenco dei domini a cui si applica. Pertanto, monitorando l'attività CT per qualsiasi certificato che corrisponda ai tuoi nomi di dominio registrabili, il risultato sarà un inventario completo dei tuoi certificati, oltre che di tutti i sottodomini presenti nell'intero patrimonio di domini.
Questo semplice fatto è incredibilmente potente, poiché la maggior parte delle organizzazioni di dimensioni non banali fatica a tenere traccia della propria infrastruttura. Con la CT, all'improvviso, abbiamo un tipo di meccanismo di battito cardiaco che ci indica quali sottodomini abbiamo. Monitorando questi segnali, si costruisce un inventario più ampio dei sottodomini. Quando li si esamina attivamente tramite la scansione di rete, si costruisce un inventario completo dei servizi. E—così—il sogno di una gestione continua e automatizzata dell'inventario degli asset diventa possibile.
Si può avere troppa visibilità
Il rovescio della medaglia della registrazione e del monitoraggio pubblico dei certificati è, appunto, che è pubblico. Chiunque nel mondo, non solo tu, può monitorare i tuoi certificati mentre vengono emessi e, di conseguenza, osservare l'attività dei tuoi sottodomini. Questa funzionalità viene spesso utilizzata per scopi positivi, da aziende di cybersecurity come Red Sift, per fornire inventari automatizzati degli asset ai propri clienti. Ma viene spesso utilizzata anche dai criminali per trovare nuovi servizi da attaccare, spesso entro pochi minuti dall'emissione dei loro certificati. Per loro, il monitoraggio della CT si affianca alla scansione continua delle porte di rete come modo per trovare più obiettivi, più velocemente.
Il fatto che i tuoi servizi pubblici poco noti possano essere scoperti non è una novità. La scansione della rete a livello globale per individuare indirizzi IP attivi e porte aperte viene utilizzata da tempo, specialmente su porte altamente sensibili come la 22 (SSH) e la 3389 (RDP). La risposta, allora come oggi, è la stessa: non mettere online servizi che non sono sicuri.
Ivan Ristic is the Chief Scientist for Red Sift and former founder of Hardenize. Learn more about how Red Sift helps organizations with their Certificate Monitoring.