Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
30/08/2011
Detectado certificado digital fraudulento para sites de google
Varios investigadores de seguridad han detectado un certificado digital fraudulento para google.com circulando por internet, que permite a los atacantes hacerse pasar por cualquiera de los servicios de Google, sin que los navegadores alertaran de ello.
El certificado fraudulento fue emitido el pasado 10 de julio por DigiNotar, una entidad certificadora (CA) afincada en Holanda. El certificado fraudulento es válido para los sites *.google.com, lo que otorga a sus dueños la capacidad de realizar ataques de forma transparente sobre los usuarios de Google que acceden a páginas controladas por los atacantes.
Esta es la segunda vez que se publica un ataque de este tipo, tras el ataque sufrido en marzo por Comodo, que permitió la emisión de certificados fraudulentos de Google, Yahoo! y Skype, entre otros. En ambos casos, los atacantes han comprometido la infraestructura de certificación de las compañías, haciendo que estas emitan certificados válidos para dominios comúnmente conocidos, y que los solicitantes por supuesto no poseen.
Este episodio vuelve a exponer públicamente los problemas de confianza en las autoridades certificadoras, porque en el tiempo en que los certificados fraudulentos fueron válidos, los atacantes podían crear ataques sobre servicios de confianza que eran prácticamente imposibles de detectar en redes controladas por atacantes. En este caso, igual que en el robo de certificados detectado en Marzo, los atacantes utilizaban direcciones IP de Irán.
Las grandes compañías detrás de los navegadores ya están preparando medidas contra este problema. Mozilla ha indicado que publicará actualizaciones para sus productos Firefox, Thunderbird y SeaMonkey en los próximos días para eliminar la confianza en los certificados de DigiNotar, mientras que da unas directrices para eliminar manualmente el certificado raíz de DigiNotar si no se quiere esperar hasta la actualización. Microsoft también ha publicado una nota indicando una futura actualización de seguridad para todas las versiones de Windows soportadas actualmente, en la que marcará DigiNotar como no confiable. Google también ha adoptado la misma postura con Chrome.
Más información en la fuente.