DigiNotar permitió que un hacker emitiera 531 certificados falsos: quebró en diez semanas

DigiNotar era una de las autoridades de certificación raíz en las que confiaba todo navegador importante y la emisora de certificados para servicios del gobierno neerlandés. En junio de 2011 un intruso entró en su red a través de software sin parchear en sus servidores web y se desplazó lateralmente por los sistemas segmentados que se suponía que aislaban la emisión de certificados. El 10 de julio el intruso emitió un certificado fraudulento para google.com. La auditoría rutinaria de DigiNotar encontró certificados fraudulentos el 19 de julio, los revocó, investigó, y a finales de mes creía que el problema estaba cerrado. No los había encontrado todos.

El 27 de agosto un usuario de Gmail en Irán descubrió que el propio navegador de Google, Chrome, rechazaba la conexión: Google 'fijaba' (pinning) los certificados que realmente había comprado, de modo que un certificado de google.com emitido por DigiNotar destacaba al instante. Google hizo público el asunto el 29 de agosto, advirtiendo de ataques de intermediario (man-in-the-middle) contra usuarios en Irán. Los investigadores contaron después 531 certificados fraudulentos para dominios como aol.com, microsoft.com, cia.gov y mossad.gov.il, y unas 298.000 direcciones IP únicas —el 95 por ciento de ellas en Irán— que accedían a páginas falsas de Google capaces de recolectar contraseñas de Gmail.

El colapso fue rápido y total. Los fabricantes de navegadores eliminaron DigiNotar de sus almacenes de confianza; el 14 de septiembre el regulador neerlandés OPTA terminó su registro como emisor de certificados; y el Tribunal de Distrito de Haarlem la declaró en quiebra el 20 de septiembre de 2011: diez semanas después de que se emitiera el primer certificado fraudulento, tres semanas después de que la brecha se hiciera pública. El propietario Vasco Data Security reportó en su formulario 10-K de 2011 una pérdida de 6,1 millones de dólares por operaciones discontinuadas más 5,2 millones de dólares en deterioros, y cerró definitivamente el negocio de certificados.

DigiNotar B.V. quebró el 20 de septiembre de 2011; el propietario Vasco registró una pérdida de 6,1 millones de dólares por operaciones discontinuadas y 5,2 millones de dólares en deterioros, y abandonó el negocio de autoridad de certificación

El software sin parchear en servidores web expuestos a internet dio al intruso su punto de entrada a una red por lo demás muy defendida.

La auditoría interna de julio declaró el incidente cerrado sin probar que no existieran otros certificados fraudulentos; el fatal de google.com solo salió a la luz cuando el navegador de un usuario lo rechazó.

El único activo de una autoridad de certificación es la confianza. Una vez que Chrome, Firefox y Microsoft dejaron de aceptar sus certificados, no quedaron ingresos que proteger.

DigiNotar trató un incidente de seguridad pública como un problema privado de TI que contener en silencio; una brecha en una autoridad de certificación afecta a todos aquellos por quienes los certificados responden.

Cuando tu producto es la confianza, cualquier brecha es existencial, y un 'lo hemos arreglado' declarado tras una auditoría interna no equivale a que la brecha haya terminado: un solo certificado falso pasado por alto puede acabar con la empresa.

Nunca nadie ha sido detenido ni acusado; la prensa ha especulado, sin pruebas, sobre una implicación del Estado iraní. El gobierno neerlandés asumió las operaciones de DigiNotar y encargó el análisis forense 'Black Tulip' de Fox-IT. El incidente impulsó al sector hacia Certificate Transparency de Google, una fijación de certificados más amplia y requisitos base más estrictos para las autoridades de certificación, cambios cuyos autores citan a DigiNotar por su nombre. Vasco, posteriormente rebautizada como OneSpan, nunca volvió al negocio de certificados, y la investigación no pública de la FTC se cerró sin acusaciones.