Se ha publicado la noticia de que han sido filtrados un total de 23.000 certificados HTTPS. Una filtración que pone en riesgo las comunicaciones de cualquier usuario de la red con cualquier sitio web de la filtración.
HTTPS es un protocolo por el cual las comunicaciones (conexiones) entre usuario y sitio web son cifradas a través de un certificado que certifica que la entidad con la que estás estableciendo las comunicaciones es la que es, impidiendo que estas comunicaciones puedan ser leídas por agentes externos o intermediarios en la comunicación. Simplificado, HTTPS no es más que HTTP al cual se le añade una capa seguridad (cifrado) SSL/TLS.



Para entender lo ocurrido hay que hablar de Trustico, una empresa que revende y gestiona certificados TLS de sitios web con sede en Reino Unido. Entre sus asociados se encuentran Comodo y, hasta hace poco, Symantec.



Durante el tiempo en el que Trustico revendió certificados para Symantec era posible generar la Petición de Firma de Certificado ('Certificate Signing Request' o CSR) y la clave privada en los sistemas de Trustico. Estas eran almacenadas por la empresa en dispositivos fuera de linea con propósitos de revocación.

'Trustico allows customers to generate a Certificate Signing Request and Private Key during the ordering process," the statement read. "These Private Keys are stored in cold storage, for the purpose of revocation.'

Esta es una mala práctica ya de por si, ya que esta información debería generarse en el propio sistema que va a alojar el certificado y ser secreta. Pero según afirma Jeremy Rowley, vicepresidente ejecutivo de DigiCert, en un foro de politicas de seguridad de Mozilla, hace apenas un mes Trustico se dirige en un correo a DigiCert (quien dirige ahora la división de certificados de Symantec) pidiendo la revocación de más de 50.000 certificados.



Tras un cruce de correos, Trustico acaba reconociendo estar aún en posesión de las claves privadas de estos certificados y que de alguna manera estas habían sido comprometidas. Al pedir DigiCert evidencias de esto último, el CEO de Trustico responde con un correo adjuntando 23.000 claves privadas en su posesión. La comunicación de las claves privadas a través de este correo dispara la revocación de los certificados debido a las reglas de certificación de DigiCert, concretamente el punto 4.9.1.3.- Circumstances for Revocation. De esta forma Trustico fuerza la revocación de los certificados al comunicar las claves privadas por correo, sin tener que dar pruebas de su compromiso.



Este hecho que traerá trabajo para los navegadores de Internet, deja en entredicho la seguridad de muchos sitios web y comercios electrónicos que pudieran estar gestionados por esta compañía, y que seguro que nos traerá noticias en los próximos días.