Otto chiavi rubate e 60mila domini esposti: doppio allarme web
Le vulnerabilità di PHP mettono sotto pressione siti pubblici e privati, mentre il caso eMudhra riapre il dibattito sulla sicurezza dei certificati online.
Otto chiavi compromesse possono permettere la creazione di certificati falsi per qualunque sito, compresi quelli di banche e servizi pubblici. È questo, secondo Denis Roio, co-fondatore dell’Associazione Italiana dei Crittografi, l’aspetto più delicato della vicenda eMudhra: «Il caso mostra il prezzo della centralizzazione: otto chiavi compromesse consentono di falsificare certificati per qualsiasi sito nel mondo».
La stessa analisi mette in discussione il modello basato su un numero ristretto di autorità riconosciute dai browser. Roio avverte che, con l’aumento delle vulnerabilità e l’accelerazione degli attacchi legata all’intelligenza artificiale, affidare ancora più potere agli stessi soggetti potrebbe amplificare gli effetti di un singolo errore.
LOOKFANTASTIC
-22% da LOOKFANTASTIC IT
Il caso eMudhra mina la fiducia online
Il 20 ottobre Mozilla ha comunicato che otto chiavi di eMudhra, società tecnologica indiana, erano state compromesse. Quelle chiavi servono a rilasciare certificati utilizzati per dimostrare che un sito è realmente quello dichiarato.
Il problema riguarda il meccanismo su cui si basano browser e sistemi operativi: una lista limitata di autorità viene considerata affidabile e i relativi certificati fanno comparire il normale lucchetto nella barra dell’indirizzo. Se un attaccante sfruttasse le chiavi sottratte, potrebbe predisporre una copia apparentemente autentica di un portale bancario, istituzionale o di posta elettronica.
L’utente vedrebbe quindi l’indirizzo corretto e gli indicatori abituali di sicurezza, pur trovandosi davanti a una pagina fraudolenta. Tra le possibili conseguenze ci sono messaggi di posta difficili da verificare e tentativi di sottrazione di credenziali. eMudhra ha annunciato l’uscita volontaria dal mercato mondiale della sicurezza, una decisione che segnala la rilevanza dell’incidente.
PHP espone migliaia di portali
In parallelo, due vulnerabilità rese pubbliche da OpenAI riguardano PHP, tecnologia impiegata in una parte molto ampia del web. L’Agenzia nazionale per la cybersicurezza ha censito almeno 60.000 domini italiani basati su PHP, precisando che il totale potrebbe crescere perché anche sistemi diffusi come WordPress, Joomla e Drupal utilizzano questo linguaggio.
Secondo i dati W3Tech citati dall’Agenzia, il 69.3% dei portali mondiali è costruito con PHP oppure lo integra. La superficie esposta comprende amministrazioni pubbliche e imprese, senza che sia possibile limitare l’attenzione a pochi servizi: il rischio, in linea teorica, interessa ogni sistema PHP raggiungibile da Internet.
Fai una domanda su questo articolo o sul suo argomento: l'AI risponde in modo pertinente.
Readoo usa l’AI per rispondere velocemente alle tue domande.
Patch urgenti o sistemi isolati
William Nonnis, analista tecnologico della presidenza del Consiglio dei ministri, ha osservato che oltre il 70 per cento dei programmi usati per amministrare il personale nelle aziende e negli enti pubblici poggia su PHP. Potrebbero dunque essere coinvolte anche informazioni contenute nelle buste paga, compresi i dati bancari e gli Iban.
L’Agenzia ha chiesto ai soggetti interessati di applicare rapidamente le correzioni distribuite dalla Fondazione PHP. Quando l’aggiornamento non è immediatamente possibile, la raccomandazione è netta: «Scollegate da Internet i sistemi privi della patch», così da ridurre l’esposizione fino alla messa in sicurezza.
La portata internazionale dell’allarme è emersa dalle misure adottate all’estero. Nel Regno Unito più di 30 servizi digitali governativi sono stati temporaneamente resi irraggiungibili; provvedimenti cautelativi hanno interessato anche siti ministeriali in Germania e servizi istituzionali nei Paesi Bassi e in Francia. In Italia, invece, non risultano ministeri disconnessi.
Il governo monitora l’emergenza
L’Agenzia nazionale per la cybersicurezza ha riferito che il governo Meloni segue l’evoluzione della situazione e che il coordinamento con l’esecutivo è proseguito in modo costante. Le amministrazioni e le aziende sono state avvisate e invitate ad applicare le misure tecniche e organizzative necessarie.
La priorità resta impedire che le falle consentano il controllo completo dei portali, il furto delle informazioni presenti nei sistemi colpiti o l’accesso successivo a reti, account, password e dati aziendali. Roio indica infine nella riduzione della centralizzazione una possibile direzione per evitare che la compromissione di un singolo soggetto produca conseguenze su scala globale.
Continua a leggere
Como, l’allarme corre su WhatsApp: 30 giovani nel mirino
La Digos ha avviato perquisizioni tra ragazzi dai 14 ai 24 anni dopo la diffusione di messaggi che annunciavano aggressioni e saccheggi nel capoluogo lariano.
Tifone Champi, allarme tra Taiwan e Filippine: voli cancellati e vittima
Il ciclone porta venti fino a 191 km/h e piogge intense, mentre cresce il rischio per le aree costiere e una diga naturale nel nord-est di Taiwan.
Pensioni, il veto della Lega mette alla prova la manovra
Salvini insiste sull’uscita a 64 anni, mentre il governo valuta una tassa del 5% per i giovani alla prima assunzione e cerca un’intesa sui conti
Biglietti più accessibili e più posti: la sfida delle zone in piedi
Alla Camera associazioni e parlamentari rilanciano l’idea di introdurre aree senza sedute negli impianti italiani, con l’obiettivo di unire partecipazione, prezzi più bassi e sicurezza.