DigiNotar deixou um hacker emitir 531 certificados falsos — e faliu em dez semanas

A DigiNotar era uma das autoridades certificadoras raiz confiadas por todos os principais navegadores e a emissora de certificados para serviços do governo holandês. Em junho de 2011, um invasor entrou em sua rede por meio de software sem correção em seus servidores web e se moveu lateralmente pelos sistemas segmentados que deveriam isolar a emissão de certificados. Em 10 de julho, o invasor emitiu um certificado fraudulento para o google.com. A auditoria de rotina da DigiNotar encontrou certificados fraudulentos em 19 de julho, revogou-os, investigou e, ao final do mês, acreditava que o problema estava encerrado. Não os havia encontrado todos.

Em 27 de agosto, um usuário do Gmail no Irã viu o próprio navegador do Google, o Chrome, recusar a conexão — o Google 'fixava' (pinning) os certificados que realmente havia comprado, de modo que um certificado google.com emitido pela DigiNotar se destacava imediatamente. O Google tornou o caso público em 29 de agosto, alertando sobre ataques de man-in-the-middle contra usuários no Irã. Investigadores depois contabilizaram 531 certificados fraudulentos para domínios como aol.com, microsoft.com, cia.gov e mossad.gov.il, e cerca de 298.000 endereços IP únicos — 95 por cento deles no Irã — acessando páginas falsas do Google que podiam capturar senhas do Gmail.

O colapso foi rápido e total. Os fabricantes de navegadores removeram a DigiNotar de seus repositórios de confiança; em 14 de setembro, a reguladora holandesa OPTA encerrou seu registro como emissora de certificados; e o Tribunal Distrital de Haarlem a declarou falida em 20 de setembro de 2011 — dez semanas após a emissão do primeiro certificado fraudulento, três semanas após o caso vir a público. A controladora Vasco Data Security registrou em seu Formulário 10-K de 2011 um prejuízo de US$ 6,1 milhões com operações descontinuadas, além de US$ 5,2 milhões em impairment, e encerrou definitivamente o negócio de certificados.

DigiNotar B.V. falida em 20 de setembro de 2011; a controladora Vasco registrou prejuízo de US$ 6,1 milhões com operações descontinuadas e US$ 5,2 milhões em impairment, e saiu do negócio de AC

Software sem correção em servidores web expostos à internet deu ao invasor seu ponto de entrada em uma rede que, de resto, era fortemente protegida.

A auditoria interna de julho declarou o incidente encerrado sem provar que não existiam outros certificados fraudulentos — o fatídico certificado do google.com só apareceu quando o navegador de um usuário o recusou.

O único ativo de uma autoridade certificadora é a confiança. Quando Chrome, Firefox e Microsoft deixaram de honrar seus certificados, não restou receita a proteger.

A DigiNotar tratou um incidente de segurança pública como um problema privado de TI a ser contido em silêncio; uma violação de AC compromete todos aqueles para quem os certificados servem de garantia.

Quando seu produto é confiança, qualquer violação é existencial, e um 'nós corrigimos' declarado após uma auditoria interna não equivale ao fim da violação — um único certificado falso não detectado pode acabar com a empresa.

Ninguém jamais foi capturado ou acusado; a imprensa especulou, sem provas, sobre envolvimento do Estado iraniano. O governo holandês assumiu as operações da DigiNotar e encomendou o post-mortem 'Black Tulip' da Fox-IT. O incidente impulsionou a indústria em direção ao Certificate Transparency do Google, a uma fixação (pinning) de certificados mais ampla e a requisitos básicos mais rigorosos para ACs — mudanças cujos autores citam a DigiNotar nominalmente. A Vasco, mais tarde rebatizada OneSpan, nunca voltou ao negócio de certificados, e a investigação não pública da FTC foi encerrada sem acusações.