Sostituire un certificato SSL (Secure Socket Layer) soggetto a diffida da parte dei browser

Di recente i noti browser Google Chrome e Mozilla Firefox hanno annunciato il loro piano di diffida nei confronti di qualsiasi certificato SSL rilasciato dall’azienda Symantec prima del 1° dicembre 2017. Il certificato SSL rappresenta un aspetto importante di ogni sito web e tratta dati sensibili. La web security di Symantec e altre soluzioni PKI sono state acquisite dall’azienda DigiCert, un evento che ha portato DigiCert ad aggiornare e modernizzare numerosi aspetti del modello Symantec. Tuttavia, nel frattempo, Chrome e Mozilla hanno scelto di revocare la convalida ai certificati SSL di Symantec finché gli aggiornamenti di cui sopra non saranno completati.

La decisione di Chrome e Mozilla di diffidare i certificati SSL di Symantec è risultata da alcune discrepanze rilevate in alcuni di quelli rilasciati tra il 2015 e oggi. Il punto di maggiore critica riguardava l’abilità di Symantec di assicurare un corretto processo di autenticazione ai certificati SSL. I dibattiti tra Symantec e la community dei browser si sono dilungati per diversi mesi, per poi concludersi in due risoluzioni fissate da Google Chrome e successivamente confermate da Mozilla Firefox:

1. Symantec deve collaborare con un’altra Certificate Authority per eseguire l’autenticazione SSL e i processi di rilascio partendo da una nuova infrastruttura.
   
   
2. Tutti i certificati SSL emessi dalla precedente infrastruttura Symantec saranno diffidati e devono essere sostituiti senza costi aggiuntivi secondo un programma graduale.

Poco dopo questa decisione Symantec ha venduto il suo business di SSL a Digicert e a partire dal 1° dicembre 2017 ha quindi iniziato a rilasciare certificati SSL pienamente conformi dalla nuova infrastruttura CA.

Mentre Chrome e Mozilla potrebbero stare agendo negli interessi della sicurezza dei propri clienti, rimangono ancora diversi browser quali Internet Explorer, Safari e Opera che decidono di non mostrare messaggi di avvertimento agli utenti poiché non credono che la minaccia sia così grave come sostenuto invece da Chrome e Mozilla. Ignari della gravità del rischio alla sicurezza, numerosi gestori di siti web potrebbero essere colpiti dalla campagna di diffida.

Per scoprire se il vostro sito web sia colpito o meno da questo cambiamento, è necessario verificare la validità del certificato. Esistono diversi tool online che possono venirvi in aiuto per stabilire la validità del vostro certificato SSL: vi basta semplicemente ricercare, selezionare e scaricare il programma a vostra scelta ed effettuare la verifica. In alternativa è anche abbastanza semplice farlo tramite il vostro browser. In questa sede vi illustreremo come controllare se i vostri certificati SSL siano scaduti o meno con Google Chrome e Mozilla Firefox.

Aprite la tab “Details” (“dettagli”) nella seconda finestra e troverete i periodi di validità dei certificati del sito web.

Vi basterà cliccare sulla freccia accanto alle informazioni di connessione del sito web e si aprirà un’altra finestra. In basso alla tab “General” (“opzioni generali”) della finestra pop up troverete il periodo di validità del certificato.

Tutti i certificati SSL interessati devono essere sostituiti attraverso un’operazione di cosiddetta “riemissione”. In questo modo viene fornito un certificato per lo stesso dominio, con la stessa data di scadenza di quello sostituito.

Symantec/DigiCert offre ai clienti interessati un nuovo certificato SSL gratuito.

Dovrete creare un CSR (Certificate Signing Request) per ogni certificato che desiderate sostituire o riemettere; si tratta di una procedura standard per l’invio a DigiCert della vostra chiave pubblica e di informazioni riguardo alla vostra azienda e al vostro nome di dominio. Inviate la vostra richiesta e una volta che DigiCert avrà convalidato nuovamente i vostri domini e le vostre organizzazioni, riceverete il nuovo certificato pronto da installare.