Certificado do dedo do Banco Inter é revogado posteriormente chave vazar na web

Um certificado do dedo do Banco Inter, escoltado da respectiva chave privada, foi publicado em um site na web e posteriormente revogado, segundo apuração do blog Segurança Do dedo. O banco Inter é o mesmo que está sendo investigado pelo Ministério Público do Região Federalista posteriormente uma reportagem do site de tecnologia “TecMundo” declarar que dados de vários correntistas da instituição foram obtidos em um verosímil ataque cibernético realizado por um invasor que teria tentado extorquir o banco cobrando um “resgate”.O certificado do dedo por si não é capaz de provar que o ataque e o vazamento de dados ocorreram, mas esse certificado é secção da tecnologia responsável por proteger a informação dos correntistas do banco com o site da instituição (bancointer.com.br). Mesmo que um ataque não tenha ocorrido, ou que o ninguém tenha usado a chave para guerrear clientes do banco, o caso levanta questões sobre as práticas de segurança da instituição financeira, pois, porquê é um oferecido sigiloso, essa chave não deveria ter sido exposta.SAIBA MAISBanco Inter: MP do DF apura suposto vazamento de dados de 300 mil clientesEm expedido ao blog Segurança Do dedo, o Banco Inter reiterou que “não houve comprometimento da sua estrutura de segurança” e não comentou o vazamento e a revogação das chaves. Além do certificado vazado encontrado pelo blog, pelo menos outros dois certificados digitais do banco (um de 13 de abril de 2018 e outro de 26 de março de 2018) foram revogados. Dados no site da Comodo: certificado do Banco Inter de 18 de agosto foi revogado com motivo de ‘chave comprometida’ (keyCompromise). (Foto: Reprodução)Revogação ocorreu por ‘chave comprometida’A norma de certificação do dedo na web estabelece 11 possíveis razões (numeradas de 0 a 10) para a revogação de um certificado. Entre as possíveis razões estão a de “motivo não especificado” (nº 0) e “certificado substituído” (nº 4). A justificativa de “chave comprometida” (nº 1), que consta para a revogação dos certificados do Banco Inter, é a mais específica sobre uma chave vazada, excluindo a possibilidade de outros problemas técnicos ou falhas nas empresas que concedem os certificados. Os certificados revogados são de duas empresas diferentes: GoDaddy e DigiCert.A autenticidade de um dos certificados, ao qual o blog Segurança Do dedo teve chegada, foi verificada através de uma propriedade matemática que pode ser conferida com registros públicos, sem a premência de testes on-line. Segundo o CRT.SH, um site da empresa de segurança Comodo que registra a utilização de certificados digitais com dados públicos, o certificado publicado na web estava em uso em 14 de outubro de 2017. Ele foi emitido em 18 de agosto de 2017 e seria válido até o mesmo dia de 2019, mas foi revogado no término da sexta-feira (11).Veja cá o certificado do Banco Inter no site da Comodo.Revogação de certificadoO site principal do Banco Inter usa um certificado dissemelhante dos que foram revogados, emitido em 29 de abril pela DigiCert. Porém, se os certificados antigos estivessem válidos, golpistas poderiam gerar sites clonados do Banco Inter caso pudessem redirecionar o chegada ao banco. Um cenário, por exemplo, seria o de redes Wi-Fi abertas. Essas redes são vulneráveis a ataques de redirecionamento, mas, caso criminosos tentem redirecionar um site de um banco em uma rede Wi-Fi ensejo, o correntista receberá um alerta de segurança informando que o certificado do site não pôde ser verificado. Porém, porquê o certificado do Banco Inter vazou, é verosímil gerar uma página clonada perfeita, usando o certificado legítimo do próprio banco.É por isso que certificados digitais que vazam precisam ser revogados, independentemente de ainda estarem ou não em uso.Não está simples se foi o banco que solicitou a revogação do certificado ou se alguém em posse dos certificados denunciou o vazamento às autoridades certificadoras.Dúvidas sobre segurança, hackers e vírus? Envie para g1seguranca@globomail.com

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Esse site utiliza o Akismet para reduzir spam. Aprenda como seus dados de comentários são processados.