I certificati erano attestati niente di meno che dal DG Trésor, il Tesoro francese e, a loro volta, l'autorizzazione del Tesoro per questi certificati era attestata dalla IGC/A che sta per "Infrastructure de Gestion de la Confiance de L'Aministration", in pratica un ente statale per la certificazione!
Sulla pagina web dell'IGC/A si legge che "i certificati garantiti dall'IGC/A identificano ufficialmente il Certificato di Autorità del servizio pubblico francese. Attestano la qualità delle pratiche di management delle chiavi pubbliche usate da queste autorità, sono conferiti dopo un attento controllo e possono essere revocati in caso di pratiche scorrette”. Evidemente, però, qualcosa deve essere andato storto.
Per fare un po' di chiarezza, ricordiamo che i browser validano i certificati di sicurezza seguendo una “catena” di firme digitali che provengono dalle Autorità di Certificazione.
Dato che i siti che richiedono certficati sono tantissimi, esistono molti intermediari in questa catena, ognuno con le relative “intermediate CA” (chiavi di autorizzazione intermedie), il cui scopo è sempre quello di certificare che un sito web sia sicuro. Di conseguenza, si crea una sorta di piramide, risalendo la quale si arriva a "poche" autorità di certificazione che compaiono sulla lista di quelle considerate “sicure” dal vostro browser.
Prendendo come esempio Firefox, la lista delle “root CAs”, che è la lista dei certificati più importanti e considerati sicuri dal browser, è estremamente lunga; ne contiene infatti svariate centinaia:
L'elenco dei certificati affidabili è parecchio lungo, ma rappresenta una frazione minima rispetto al numero di entità che può rilasciarne.
In caso di attacchi su siti HTTPS, un hacker dovrebbe riuscire a creare un MiTM (Man in The Middle) attack, prendendo i contenuti richiesti dal sito HTTPS, decrittarli, analizzarli e poi ri-criptarli prima di mandarli nuovamente al browser di chi deve essere colpito.Chiunque volesse abusare del sistema, deve comunque riuscire ad arrivare ad avere una catena di autorizzazioni che finiscono per richiamare una di queste root CA.
In questo caso, però, la pagina "restituita" dall'hacker non avrebbe alcun certificato e l'utente ne sarebbe subito al corrente trovandosi di fronte un messaggio tipo questo:
Una schermata che non può non allertare il navigatore...
Tutto bene quindi? No, perché qualcuno è riuscito a farsi certificare nientemeno che dal Tesoro francese! Molto probabilmente, chi c'è dietro lo ha fatto per monitorare un dipartimento del governo francese, magari nemmeno con fini spionistici, ma forse addirittura in un (evidentemente maldestro) tentativo di migliorarne la sicurezza.
E' quindi probabile che sia riuscito ad ottenere una certificazione dal Tesoro per il proprio gateway scanner usato per il monitoraggio, che poi si premurava di creare certificati fasulli, ma validi – data la certificazione a monte – per le comunicazioni intra-dominio all'interno del dipartimento del governo francese.
Il problema è che se uno di questi finti certificati fosse finito in mani sbagliate, qualunque hacker in suo possesso avrebbe potuto ottenere immediatamente un modo di mascherare connessioni HTTPS con l'uso di un certificato SSL verificato e considerato sicuro a livello.. globale.
Per fortuna Google ha scoperto il tutto ed ha posto fine a potenziali gravi problemi. Chissà, forse qualche 007 francese è stato convocato dal proprio Mr. M per una lavata di capo... Ma è più probabile che sia stato un tecnico IT a ritrovarsi con una brutta gatta da pelare.