Aggiornamento 2 - L’indiana eMudhra ha causato un’allerta globale a causa di una vulnerabilità di sicurezza, e si è ritirata dal settore della sicurezza dei siti web.

Aggiungere citazioni e dettagli nel testo completo

Abhirami G

Reuters, 22 ottobre - La società di sicurezza digitale eMudhra (EMUD.NS) sta abbandonando la sua attività di emissione di certificati digitali per siti globali, compreso il portale fiscale indiano. In precedenza, i principali produttori di browser hanno bloccato questi certificati per via di vulnerabilità di sicurezza, una questione che ha sollevato preoccupazioni di cybersicurezza a livello globale.

Giovedì l’azienda ha annunciato questa decisione dopo che i giganti tech come Google GOOGL.O, Apple AAPL.O e Microsoft MSFT.O hanno smesso di fidarsi dei suoi certificati SSL/TLS—utilizzati per criptare i dati trasmessi fra utenti e siti web per evitare che vengano intercettati dagli hacker.

Le vulnerabilità sono emerse lo scorso fine settimana, quando un ricercatore indipendente di cybersicurezza ha scoperto diversi certificati chiave di eMudhra soggetti ad attacchi.

I clienti di eMudhra sono molteplici, dai giganti IT come Infosys (INFY.NS) e TCS (TCS.NS) fino alle agenzie governative; i suoi certificati proteggono numerosi siti critici, incluso il portale dell’imposta sui redditi indiano.

“I certificati di eMudhra sono ampiamente riconosciuti a livello internazionale e tali vulnerabilità hanno causato una crisi di fiducia nella comunità globale della cybersicurezza”, ha dichiarato Mredul Sarda, fondatore della società di cybersicurezza Causal Security con sede a San Francisco.

Secondo eMudhra, la vulnerabilità non era stata individuata negli ultimi 18 mesi e aveva superato due audit.

Il cofondatore Kaushik Srinivasan ha riferito a Reuters che il problema deriva da otto chiavi generate nell’aprile scorso da eMudhra, che il software aveva ridotto per errore, compromettendo sensibilmente la sicurezza.

Una chiave crittografica è una lunga stringa usata per criptare o decriptare dati tramite algoritmi. Tuttavia, la lunghezza insufficiente delle chiavi di eMudhra rendeva la crittografia facilmente violabile.

“Basta che una certification authority sia compromessa e gli attaccanti possono impersonare qualsiasi sito web”, ha affermato Lukasz Olejnik, consulente indipendente e visiting senior research fellow presso il dipartimento di War Studies del King’s College London.

Benché i browser abbiano rapidamente bloccato i certificati compromessi, i dispositivi collegati a internet che vengono aggiornati meno spesso potrebbero ancora essere a rischio. “Milioni di vecchi dispositivi potrebbero restare vulnerabili per anni o forse per sempre, poiché continueranno a fidarsi di questi certificati”, ha commentato Olejnik.

Mercoledì, il Computer Emergency Response Team indiano ha dichiarato che alcuni certificati intermedi di eMudhra erano stati esposti.

eMudhra ha riferito di aver revocato otto certificati, ma ha assicurato che la sua infrastruttura non è stata compromessa e che non si sono verificati data leak.

L’azienda ha aggiunto che l’attenzione sui social media ha esercitato un esame sproporzionato su questa attività, che rappresenta solo l’1% del suo fatturato.

Gli investitori hanno reagito duramente: le azioni eMudhra hanno perso il 40% del valore in due giorni dal momento della scoperta della vulnerabilità.

(Per agevolare i lettori non anglofoni, Reuters fornisce le sue notizie in diverse lingue tramite traduzione automatizzata. Poiché la traduzione automatica può contenere errori o non rispecchiare pienamente il contesto necessario, Reuters non garantisce l’accuratezza dei testi tradotti automaticamente, che sono forniti solo per facilitare la lettura. Reuters non si assume responsabilità per danni o perdite derivanti dall’uso della funzione di traduzione automatica.)