Cosa può fare un utente malintenzionato con una chiave privata SSL rubata? Cosa dovrebbe fare l'amministratore web?

Vettori di attacco

Se un utente malintenzionato scopre la tua chiave privata SSL, sei minimamente vulnerabile ai seguenti attacchi:

1) Traffic Eavesdropping

All'attaccante, tutto ciò che viene inviato su SSL può essere decifrato e dovrebbe quindi essere considerato come testo chiaro. Ciò significa che le password, i numeri delle carte di credito e altre Informazioni personali e private sono vulnerabili al fatto di essere sfruttate o sfruttate contro di voi man mano che l'attacco si intensifica.

2) Man-In-The-Middle

Parte del motivo per utilizzare un certificato SSL è di autenticarsi in modo univoco sui client che si connettono al tuo server. Se la chiave privata viene rubata, un hacker può creare un attacco Man-In-the-Middle in cui i dati che fluiscono dal server al client o dal client al server vengono modificati durante il transito. Questo potrebbe essere fatto per chiedere a un utente di riautenticare (e quindi rinunciare alla propria password), chiedere un numero di carta di credito o impiantare malware nei download di file.

Come puoi vedere, se qualcuno ha compromesso il tuo certificato SSL, può rapidamente incrementare l'attacco per ottenere l'accesso non autorizzato al tuo sistema o attaccare te o i tuoi utenti.

Come recuperare

Se si sospetta una violazione della chiave privata, è necessario aggiungere il certificato SSL all'elenco di revoche di certificati (CRL). Ciò avviserà gli altri partecipanti della Public Key Infrastructure (PKI) che il certificato in questione non può più essere considerato attendibile. Per fare ciò, di solito è necessario accedere all'account creato con l'autorità di certificazione (CA) che ha emesso il certificato SSL o altrimenti notificarlo della violazione sospetta. Godaddy fornisce istruzioni per questo online, così come Network Solutions .

Una volta revocato il certificato SSL, è necessario eseguire nuovamente il processo di generazione di un nuovo certificato e di una chiave privata per riattivare i servizi SSL per il proprio sito Web o applicazione.

Se il tuo sito è stato violato, ti consigliamo di ripristinare i seguenti passaggi:

1. Spegni il servizio compromesso. Generalmente non è consigliabile o etico lasciare a rischio te stesso o i tuoi utenti mentre risolvi le cose.
2. Revoca il certificato SSL . Aggiungendo il certificato al CRL, stai notificando al mondo che non può più essere considerato attendibile. Questo dovrebbe essere fatto il prima possibile.
3. Determina la causa della violazione e correggi il problema. Non ti farà bene revocare e riemettere il certificato se non sai come sei stato compromesso in primo luogo. Cerca di capirlo in modo che prima di rimettere tutto online non sarai di nuovo compromesso. Risolvi il problema.
4. Genera un nuovo certificato SSL . Come accennato in precedenza, dovrai generare un nuovo certificato per riportare le cose online in sicurezza.
5. Riprendi servizi . Dopo aver risolto la causa principale della violazione della sicurezza, revocato il certificato e generato un nuovo certificato da zero, si consiglia di ripristinare le informazioni online.
6. Notifica utenti / parti interessate . È considerata una buona pratica fornire una completa divulgazione e informare coloro che potrebbero essere stati danneggiati dalla violazione di quanto accaduto. In alcuni settori (come l'assistenza sanitaria) questo potrebbe persino essere richiesto dalla legge. Tuttavia, a questo punto è necessario rinviare alle politiche aziendali / governative per specifiche.

What can an attacker do with a stolen website certificate and key?

Gli aggressori in possesso della chiave privata possono:

• Impersonare il sito Web, se sono anche in grado di eseguire un attacco MITM attivo (ovvero modificare il traffico proveniente dal client, in modo da reindirizzare la richiesta al proprio server).

• Guarda all'interno del traffico che possono origliare (senza dover necessariamente modificare il traffico), se una suite di crittografia che non

What should the website admin do upon learning this?

Dovrebbero contattare la loro autorità di certificazione per revocare la CA e ottenerne una nuova (con una nuova parte chiave). Una volta revocati, i client che controllano la revoca (tramite CRL o OCSP) non dovrebbero accettare il vecchio certificato. (I clienti che non lo controllano saranno comunque vulnerabili fino alla scadenza del certificato.)

Dire agli utenti che questo incidente è accaduto non è una cattiva idea, almeno per incoraggiarli a controllare che i loro browser controllino la revoca (e forse prendere le misure necessarie, dovrebbero sospettare che alcune delle loro comunicazioni siano state vulnerabili).

Si noti che, se gli hacker hanno registrato le comunicazioni passate utilizzando quel certificato e che al momento è stata utilizzata una suite di crittografia non PFS, gli autori dell'attacco dovrebbero essere in grado di decifrare quelle comunicazioni passate con la chiave privata.