Tl;dr: Google ha annunciato che a partire dal 31 ottobre 2024, Chrome non si fiderà più dei certificati firmati dai certificati radice Entrust. Sebbene non ci sia un impatto immediato sui certificati esistenti o su quelli emessi prima del 31 ottobre 2024, le organizzazioni dovrebbero iniziare a rivedere il proprio ambiente fin da ora.
Giovedì 27 giugno 2024, Google ha annunciato di aver “seguito da vicino le discussioni all'interno della comunità MDSP riguardo alle mancanze di conformità di Entrust. Nonostante gli sia stata data una chiara opportunità di affrontare in modo approfondito e soddisfacente questi problemi attraverso un rapporto iniziale, la risposta di Entrust non è riuscita a soddisfare le aspettative [di Google] e della comunità. Quando è stata data un'ulteriore possibilità di raggiungere il livello atteso da un proprietario di CA pubblica, il rapporto successivo, sebbene superficialmente migliorato, non offre ancora prove sostanziali e convincenti di un cambiamento significativo.”
“I certificati di autenticazione del server TLS che si convalidano rispetto alle seguenti radici Entrust il cui primo Signed Certificate Timestamp (SCT) è datato dopo il 31 ottobre 2024 (GMT), non saranno più considerati attendibili per impostazione predefinita.”
- CN=Entrust Root Certification Authority – EC1,OU=See www.entrust.net/legal-terms+OU=(c) 2012 Entrust, Inc. – for authorized use only,O=Entrust, Inc.,C=US
- CN=Entrust Root Certification Authority – G2,OU=See www.entrust.net/legal-terms+OU=(c) 2009 Entrust, Inc. – for authorized use only,O=Entrust, Inc.,C=US
- CN=Entrust.net Certification Authority (2048),OU=www.entrust.net/CPS_2048 incorp. by ref. (limits liab.)+OU=(c) 1999 Entrust.net Limited,O=Entrust.net
- CN=Entrust Root Certification Authority,OU=www.entrust.net/CPS is incorporated by reference+OU=(c) 2006 Entrust, Inc.,O=Entrust, Inc.,C=US
- CN=Entrust Root Certification Authority – G4,OU=See www.entrust.net/legal-terms+OU=(c) 2015 Entrust, Inc. – for authorized use only,O=Entrust, Inc.,C=US
- CN=AffirmTrust Commercial,O=AffirmTrust,C=US
- CN=AffirmTrust Networking,O=AffirmTrust,C=US
- CN=AffirmTrust Premium,O=AffirmTrust,C=US
- CN=AffirmTrust Premium ECC,O=AffirmTrust,C=US
La risposta di Entrust
Più tardi lo stesso giorno, il Presidente e CEO di Entrust, Todd Wilkinson, ha rilasciato una dichiarazione ai clienti:
“Per rispondere alle vostre preoccupazioni, non ci sono state implicazioni per la sicurezza negli eventi che hanno portato a questa revoca di fiducia, e potete essere certi che i vostri certificati sono sicuri. Voglio anche assicurarvi che Entrust può e potrà continuare a soddisfare le vostre esigenze di certificati digitali ora e in futuro. E questa nostra capacità va oltre le radici pubbliche interessate dalla decisione di Google.”
Cosa succede adesso?
Sebbene esistano precedenti per scenari simili, come si è visto più recentemente con la revoca di fiducia di Symantec, i prossimi passi esatti rimangono incerti. Ci si aspetta che Entrust annunci presto ulteriori piani, data l'urgenza della tempistica.
Cosa significa questo per i certificati VMC?
I certificati VMC emessi da Entrust non sono attualmente interessati. Tuttavia, il team di Gmail ha indicato che sta ‘lavorando internamente per valutare la situazione.’ Terremo aggiornati i nostri clienti man mano che avremo maggiori informazioni.
Azioni che i clienti devono iniziare a intraprendere
Sebbene Entrust abbia finora dichiarato che tutto procede come al solito, Red Sift consiglia ai clienti di essere prudenti e di intraprendere i seguenti passi.
- Esamina il tuo inventario dei certificati utilizzando Red Sift Certificates per misurare la tua esposizione a Entrust. Anche se pensi di non fare affidamento sui certificati Entrust, è comunque altamente consigliato farlo.
- Mappa le parti del tuo ambiente che dipendono da Entrust come Autorità di Certificazione.
- Identifica eventuali certificati di terze parti da cui dipendono i tuoi servizi che saranno interessati e assicurati che i fornitori coinvolti comprendano lo scenario attuale e stiano adottando un approccio pragmatico.
Come Red Sift può aiutare
Questa situazione evidenzia perché Red Sift Certificates è una parte essenziale dello stack di software di sicurezza dei nostri clienti, in particolare nell'attuale panorama decentralizzato e fortemente automatizzato dell'emissione di certificati. Senza di esso, i team di sicurezza e infrastruttura potrebbero non avere visibilità su quali Autorità di Certificazione (CA) vengono utilizzate e dove i certificati sono distribuiti.
I clienti di Red Sift Certificates (precedentemente noto come Hardenize) possono facilmente sfruttare i nostri report esistenti per individuare tutti i certificati pubblici all'interno del proprio ambiente, indipendentemente dalla CA emittente o dagli hostname su cui sono distribuiti. Questa capacità consente loro di mappare in modo completo e comprendere la propria esposizione al rischio, permettendo un processo decisionale informato per la propria organizzazione.
Per affrontare lo scenario attuale, introdurremo presto un report specifico nella nostra dashboard Certificates. Con un solo click, i clienti potranno visualizzare la propria esposizione attuale e monitorare eventuali cambiamenti da ora fino a ottobre.
Se non sei ancora un cliente di Red Sift Certificates, richiedi una demo gratuita. Il nostro team ti metterà in funzione in pochi minuti.
