¿Es posible falsificar la CA de cualquier servidor para firmar alguna aplicación? Como en lo que dice CarbonCopy ?
¿Es posible falsificar la CA de cualquier servidor para firmar alguna aplicación? Como en lo que dice CarbonCopy ?
CarbonCopy crea un certificado autofirmado que se parece al certificado original, es decir, el asunto, el emisor, etc. parecen coincidir. Pero, el certificado no está firmado en absoluto por el emisor especificado. Esto significa que si se realiza una validación adecuada del certificado, no se encontrará un ancla de confianza local y el certificado se rechazará como no confiable.
No, no es posible. Los certificados son un árbol encadenado, donde cada certificado se encadena a otro a través de una firma digital. la cadena termina con un certificado raíz que se presenta en un formulario autofirmado y un cliente debe confiar explícitamente en él.
Cuando falsifique el certificado, tendrá una firma diferente creada por una clave pública no legítima. Cuando intente vincular un certificado falsificado a una cadena legítima, el certificado de la CA principal fallará en la validación de la firma del certificado falsificado. Es decir, para falsificar correctamente el certificado de CA, debe, robar o reconstruir el par de claves. Ambas opciones son tareas bastante difíciles.
En teoría, si todo se hace correctamente, no debería ser posible falsificar una firma. En realidad, sin embargo, ha habido casos en que las firmas digitales en la naturaleza han sido falsificadas (o potencialmente "falsificables") debido al criptoanálisis o la piratería informática. Hay un documento reciente sobre cómo el uso de la generación deficiente de par de llaves públicas en varios servidores y dispositivos ha llevado a la creación de claves débiles que, a su vez, pueden romperse y generar firmas falsas. Aquí hay un muy buen artículo sobre el tema: enlace
Otras formas podrían ser crear sus propias claves y firmarlas, y de alguna manera atacar el sistema de destino instalando otro certificado raíz que verifique su firma falsa. En realidad, hay razones legítimas limitadas por las que uno crearía una CA privada y almacenaría sus certificados como certificados raíz en las computadoras que administra (por ejemplo, en una intranet corporativa donde se necesita monitorear las comunicaciones SSL salientes) ... pero cuando se hace en forma silvestre con intenciones maliciosas, es un ataque muy poderoso que causa muchos problemas, pero no es ético y nunca debe hacerse.
Siempre genere claves de forma segura y protéjalas, ¡y no piratee PKI!
Lea otras preguntas en las etiquetas malware certificate-authority spoofing