0 
0 Muitos itens do dia a dia no mundo desenvolvido estão agora conectados à Internet, muitas vezes de forma inexplicável. Acrescenta outra camada de potencial falha de tecnologia que para aparelhos pessoais pode ser um aborrecimento divertido: persianas que não abrem , microondas que não se ajustam às mudanças de horário , geladeiras que precisam de atualizações de firmware .
Mas na empresa, quando os dispositivos da Internet das Coisas falham, não é brincadeira do Twitter. As linhas de montagem da fábrica param. Monitores de frequência cardíaca em hospitais ficam offline. As placas inteligentes do ensino fundamental ficam escuras.
As falhas de dispositivos inteligentes são um risco crescente no mundo corporativo, e não apenas por causa das preocupações de segurança frequentemente discutidas . É porque alguns dos certificados raiz desses dispositivos – necessários para que eles se conectem à Internet com segurança – estão expirando.
“Os dispositivos precisam saber em que confiar, então o certificado raiz é incorporado ao dispositivo como uma ferramenta de autenticação”, explica Scott Helme, pesquisador de segurança que escreveu extensivamente sobre o problema de expiração do certificado raiz . “Uma vez que o dispositivo está disponível, ele tenta chamar ‘home’ – uma API ou servidor do fabricante – e verifica esse certificado raiz para dizer: ‘Sim, estou me conectando a essa coisa segura correta’. Essencialmente [um certificado raiz é] uma âncora de confiança, um quadro de referência para o dispositivo saber com o que está falando.”
Na prática, essa autenticação é como uma teia ou uma cadeia. As autoridades certificadoras (CAs) emitem todos os tipos de certificados digitais, e as entidades “conversam” entre si, às vezes com vários níveis. Mas o primeiro e mais importante elo dessa cadeia é sempre o certificado raiz. Sem ele, nenhum dos níveis acima poderia viabilizar as conexões. Portanto, se um certificado raiz parar de funcionar, o dispositivo não poderá autenticar a conexão e não se conectará à Internet.
Aqui está o problema: o conceito da Web criptografada foi desenvolvido por volta de 2000 — e os certificados raiz tendem a ser válidos por cerca de 20 a 25 anos. Em 2022, então, estamos bem no meio desse período de expiração.
As CAs emitiram muitos novos certificados raiz nas últimas duas décadas, é claro, bem antes dos vencimentos. Isso funciona bem no mundo dos dispositivos pessoais, onde a maioria das pessoas frequentemente atualiza para novos telefones e clica para atualizar seus laptops, para que tenham esses certificados mais recentes. Mas na empresa, pode ser muito mais desafiador ou mesmo impossível atualizar um dispositivo – e em setores como manufatura, as máquinas ainda podem estar no chão de fábrica 20 a 25 anos depois.
Sem uma conexão com a Internet, “esses dispositivos não valem nada”, diz Kevin Bocek, vice-presidente de estratégia de segurança e inteligência de ameaças da Venafi, fornecedora de serviços de gerenciamento de identidade de máquina. “Eles basicamente se tornam tijolos [quando seus certificados raiz expiram]: eles não podem mais confiar na nuvem, não podem receber comandos, não podem enviar dados, não podem receber atualizações de software. Esse é um risco real, principalmente se você é um fabricante ou um operador de algum tipo.”
Um tiro de advertência
O risco não é teórico. Em 30 de setembro, um certificado raiz emitido pela massiva CA Let’s Encrypt expirou — e vários serviços na Internet quebraram . A expiração não foi uma surpresa, pois a Let’s Encrypt vinha alertando seus clientes para atualizar para um novo certificado.
Ainda assim, Helme escreveu em um post no blog 10 dias antes do vencimento: “Aposto que algumas coisas provavelmente vão quebrar naquele dia”. Ele estava certo. Alguns serviços da Cisco, Google, Palo Alto, QuickBooks, Fortinet, Auth0 e muitas outras empresas falharam.
“E a coisa estranha sobre isso”, diz Helme ao Dark Reading, “é que os lugares que usam o Let’s Encrypt são, por definição, muito modernos – você não pode simplesmente ir ao site deles e pagar seus US $ 10 e baixar seu certificado manualmente. ser feito por uma máquina ou por meio de sua API. Esses usuários eram avançados e ainda era um grande problema. Então, o que acontece quando vemos [expirações] das CAs mais herdadas que têm esses grandes clientes corporativos? em vigor será maior.”
O caminho a seguir
Mas com algumas mudanças, esse efeito indireto não precisa acontecer, diz Bocek, da Venafi, que vê o desafio como um desafio de conhecimento e cadeia de comando – então ele vê soluções tanto na conscientização quanto na colaboração precoce.
“Fico muito empolgado quando vejo os diretores de segurança e suas equipes se envolvendo no nível de fabricante e desenvolvedor”, diz Bocek. “A questão não é apenas ‘Podemos desenvolver algo que seja seguro?’ mas ‘Podemos continuar a operá-lo?’ Muitas vezes há uma responsabilidade compartilhada de operação nesses dispositivos conectados de alto valor, então precisamos ser claros sobre como vamos lidar com isso como um negócio.”
Conversas semelhantes estão acontecendo no setor de infraestrutura, diz Marty Edwards, vice-CTO de tecnologia operacional e IoT da Tenable. Ele é um engenheiro industrial de profissão que trabalhou com empresas de serviços públicos e com o Departamento de Segurança Interna dos EUA.
“Francamente, no espaço industrial com concessionárias e fábricas, qualquer evento que leve a uma interrupção ou perda de produção é preocupante”, diz Edwards. “Então, nesses círculos especializados, os engenheiros e desenvolvedores certamente estão analisando os impactos [dos certificados raiz expirados] e como podemos corrigi-los.”
Embora Edwards enfatize que está “otimista” sobre essas conversas e a pressão por considerações de segurança cibernética durante o processo de aquisição, ele acredita que mais supervisão regulatória também é necessária.
“Algo como um padrão básico de atendimento que talvez inclua linguagem sobre como manter a integridade de um sistema de certificação”, diz Edwards. “Houve discussões entre vários grupos de padrões e governos sobre rastreabilidade para dispositivos de missão crítica, por exemplo.”
Quanto a Helme, ele adoraria ver as máquinas corporativas configuradas para atualizações de uma forma realista e não árdua para o usuário ou o fabricante – um novo certificado emitido e uma atualização baixada a cada cinco anos, talvez. Mas os fabricantes não serão incentivados a fazer isso, a menos que os clientes corporativos pressionem por isso, observa ele.
“Em geral, acho que isso é algo que a indústria precisa corrigir”, concorda Edwards. “A boa notícia é que a maioria desses desafios não são necessariamente tecnológicos. Trata-se mais de saber como tudo funciona e colocar as pessoas e os procedimentos certos no lugar.”
FONTE: DARK READING