Dopo la vicenda dei certificati di sicurezza fasulli, come quelli utilizzati da hacker iraniani per scovare dati nel sistema di posta Gmail, Mozilla ha deciso di correre ai ripari e ha dato una settimana di tempo, alle società che distribuiscono tali certificati, per migliorare i rispettivi sistemi di sicurezza.

Kathleen Wilson, direttrice del reparto CA Certificate Module di Mozilla (dove CA sta per Certificate Authority), ha inviato un comunicato alle società che partecipano al Mozilla root program, indicando come sia necessaria una revisione dei sistemi di protezione.

Mozilla chiede che, entro il 16 di questo mese, le società eseguano i seguenti controlli: verifica dell'infrastruttura a chiave pubblica con controllo di eventuali compromissioni; presentazione di una lista di certificati di sicurezza firmati da più CA; conferma della necessità di un sistema di autenticazione a più fattori per gli account che rilasciano certificati; conferma della presenza di blocchi automatici per domini ad alto profilo come Google.com e verifica manuale delle richieste bloccate in automatico.

Inoltre sono richiesti controlli tecnici, inventari ed altre informazioni a CA terze.

Il caso DigiNotar è soltanto l'ultimo della serie, Mozilla ha provveduto ad eliminare il certificato di sicurezza della società dal suo root program a causa della mancata attenzione posta ad eventuali attacchi subiti, la stessa cosa ha fatto Adobe, eliminando il relativo certificato dalle liste di sicurezza presenti nei propri prodotti.

In passato, però, anche società che operano nel campo della sicurezza come Comodo, sono state vittime di attacchi che hanno portato via certificati di sicurezza, poi utilizzati per avviare false firme di sicurezza su diversi siti, compresi quelli su cui avvenivano transazioni economiche.

Il problema fondamentale, dunque, è la verifica della provenienza di un certificato SSL, se il certificato in sè sicuro, ma chi lo fornisce implementa un livello di protezione, per i propri sistemi, troppo basso, non c'è modo che si possa garantire che quel certificato non sia utilizzato da persone non autorizzate.