- Artigo sobre um ataque man-in-the-middle (MitM) contra os serviços jabber.ru e xmpp.ru, supostamente conduzido pelo Estado alemão
- O ataque foi realizado com a ajuda dos provedores de hospedagem Hetzner e Linode, e certificados de validação de domínio foram emitidos sem autorização
- Duas formas de detectar esses ataques são o monitoramento de logs de Certificate Transparency e conexões periódicas ao serviço para verificar a chave pública usada pelo servidor TLS
- No entanto, esses métodos de detecção têm limitações, como o fato de o Certificate Transparency (CT) ser opcional e a possibilidade de MitM seletivo
- O artigo propõe estratégias de mitigação, incluindo a implantação de ACME-CAA (RFC 8657) para evitar a emissão não autorizada de certificados TLS e permitir que apenas contas específicas de determinadas CAs emitam certificados para o domínio
- O artigo discute as ações que um adversário estatal mais capacitado poderia adotar e destaca lacunas na infraestrutura TLS atual
- As recomendações para operadores de serviço incluem implantar ACME-CAA, implantar DNSSEC, evitar serviços como Cloudflare, assinar serviços de monitoramento de logs CT e usar arbitragem de jurisdição
- As recomendações para o fórum CA/Browser incluem exigir que todos os certificados sejam registrados em logs CT
- As recomendações para fornecedores de software cliente de aplicações incluem adicionar suporte para impor a presença de evidências de CT nos certificados TLS
- Os usuários finais são incentivados a presumir que o serviço foi comprometido, usar tecnologias de criptografia de ponta a ponta e considerar o uso de serviços ocultos do Tor
- Recomenda-se que as CAs ofereçam suporte a ACME-CAA e sempre registrem certificados em CT
- O artigo conclui que as tecnologias atuais de "computação confidencial" não são totalmente seguras, pois dependem de chaves-mestras do fornecedor
Ainda não há comentários.