I bot di trading di criptovalute e le applicazioni di exchange potrebbero rimanere esposti a una vulnerabilità di sicurezza dei certificati legata alla società indiana eMudhra, nonostante le correzioni d'emergenza implementate dalle principali aziende tecnologiche, secondo la società di sicurezza blockchain CertiK.

Entro martedì, i giganti tecnologici tra cui Google, Apple e Microsoft avevano bloccato otto certificati vulnerabili emessi da eMudhra — certificati che potevano replicare versioni contraffatte di siti web legittimi, come riportato in precedenza da Cointelegraph. Le autorità di certificazione come eMudhra costituiscono il fondamento della fiducia HTTPS: sono organizzazioni fidate che emettono i certificati digitali presentati dai siti web per dimostrare la propria identità, ed è per questo che i certificati emessi in modo improprio sono considerati un problema di sicurezza a livello dell'intero web. Tuttavia, tali correzioni a livello di browser potrebbero non estendersi alle applicazioni crypto che si affidano a sistemi di sicurezza separati, ha dichiarato a Cointelegraph Peiyu Wang, senior director della sicurezza degli asset digitali di CertiK.

"I blocchi dei principali browser riducono notevolmente il rischio per i client che li ricevono e li applicano", ha dichiarato Wang. "Alcune applicazioni al di fuori dell'ecosistema dei browser non applicano il Certificate Transparency né ricevono le stesse protezioni di revoca."

Il Certificate Transparency è un framework ampiamente utilizzato con il quale i browser verificano i certificati dei siti web rispetto a log pubblici e verificabili, contribuendo a garantire che i certificati emessi in modo improprio possano essere rilevati e bloccati. Le applicazioni che operano al di fuori di tale ecosistema potrebbero non beneficiare delle stesse tutele — un divario che tocca direttamente il mondo crypto, dove i bot di trading e le applicazioni di exchange interagiscono tipicamente con i servizi tramite API anziché attraverso un browser.

Wang ha sottolineato che i servizi crypto non sono intrinsecamente più suscettibili alla vulnerabilità rispetto ad altri settori. Ciò nonostante, gli attaccanti potrebbero sfruttare i certificati compromessi per impersonare le connessioni HTTPS utilizzate da exchange, interfacce di wallet e API.

In particolare, gli attaccanti potrebbero impersonare i servizi crypto per sostituire gli indirizzi di deposito o indurre gli utenti ad approvare transazioni dannose, ha dichiarato Wang. Tali attacchi richiederebbero inoltre l'intercettazione o il reindirizzamento del traffico internet degli utenti, e le chiavi compromesse dell'autorità di certificazione, da sole, non esporrebbero le chiavi private dei wallet.

Wang ha esortato gli operatori crypto ad aggiornare il proprio software e i trust store dei certificati e a verificare che le proprie applicazioni respingano i certificati interessati — un lavoro di verifica che spetta a ciascun operatore, poiché i blocchi a livello di browser potrebbero non raggiungere automaticamente le applicazioni al di fuori di tali browser.

Felix Ng ha contribuito alla ricerca.

Fonte: Cointelegraph