Certificados TLS fraudulentos para el servicio DNS 1.1.1.1: una amenaza silenciosa para la ciberseguridad

La comunidad de ciberseguridad está en alerta máxima. Hace poco descubrimos que se emitieron tres certificados TLS fraudulentos para el servicio DNS 1.1.1.1, operado conjuntamente por Cloudflare y el registro de Internet APNIC. Y no, no es una noticia menor: estamos hablando de uno de los servicios DNS más utilizados del planeta.

Lo más alarmante es que, aunque estos certificados se emitieron en mayo, el problema no salió a la luz hasta hace poco, lo que significa que durante cuatro meses existió una vulnerabilidad que podría haber comprometido la seguridad de millones de usuarios. Dos de estos certificados seguían siendo válidos cuando saltó la alarma.

¿Por qué es esto tan grave?

Estos certificados fraudulentos permitirían a cualquier atacante descifrar consultas DNS encriptadas que utilizan protocolos como DNS sobre HTTPS o DNS sobre TLS. Si no estás familiarizado con estos términos, te explico: cuando escribes una dirección web, tu dispositivo necesita traducirla a una dirección IP, y para eso consulta a un servidor DNS. Estos protocolos cifran esas consultas para proteger tu privacidad.

Con estos certificados en manos equivocadas, alguien podría interceptar, descifrar y manipular este tráfico. Es como si alguien tuviera una copia de las llaves de tu casa sin que lo supieras.

La cronología del incidente

La emisión irregular de estos certificados fue obra de Fina RDC 2020, una autoridad certificadora subordinada a Fina Root CA, que a su vez está avalada por el Programa de Certificados Raíz de Microsoft. Este detalle es importante porque significa que Windows y Microsoft Edge (que representa aproximadamente el 5% de los navegadores activos) confiarían automáticamente en estos certificados fraudulentos.

Cloudflare fue tajante al respecto: «Cloudflare no autorizó a Fina a emitir estos certificados». La empresa inició inmediatamente una investigación y contactó con Fina, Microsoft y el organismo supervisor TSP de Fina, aunque en el momento de salir la noticia no habían recibido respuesta de Fina.

El problema sistémico que revela este incidente

Lo que me resulta más inquietante de todo este asunto no es solo el incidente en sí, sino lo que revela sobre la fragilidad de nuestro sistema de confianza en Internet. Como dijo Cloudflare en su declaración: «El ecosistema de autoridades certificadoras es un castillo con muchas puertas: la falla de una CA puede comprometer la seguridad de todo el castillo».

Este incidente pone al descubierto una debilidad fundamental en la infraestructura de clave pública que sustenta la confianza en Internet. El sistema que garantiza que estás realmente conectándote a gmail.com o a tu banco online puede colapsar con un único punto de fallo.

¿Quién está a salvo?

Si utilizas Google Chrome, Firefox o Safari, respira tranquilo. Según confirmaron los representantes de Google y Mozilla, sus navegadores nunca confiaron en estos certificados, por lo que sus usuarios no necesitaban tomar ninguna acción. Apple también confirmó indirectamente que Safari no confiaba en estos certificados, ya que Fina no estaba en su lista de autoridades certificadoras de confianza.

Microsoft, por su parte, dijo haber «contactado a la autoridad certificadora para solicitar acción inmediata» y estar «tomando medidas para bloquear los certificados afectados». Sin embargo, la pregunta que queda en el aire es cómo no detectaron estos certificados fraudulentos durante tanto tiempo.

Transparencia de certificados: ¿un sistema que falló?

La Transparencia de Certificados es un registro público que cataloga en tiempo real todos los certificados emitidos por autoridades certificadoras de confianza. Su propósito es permitir que las partes interesadas puedan identificar rápidamente certificados mal emitidos antes de que puedan ser utilizados en ataques.

En este caso, la emisión fraudulenta debería haber sido fácil de detectar, ya que la dirección IP utilizada para validar la solicitud era precisamente 1.1.1.1. El hecho de que pasaran cuatro meses hasta que alguien lo notara sugiere que estos registros no están siendo monitorizados con la atención que merecen.

El riesgo de los ataques «man-in-the-middle»

Ryan Hurst, CEO de Peculiar Ventures y experto en TLS e infraestructura de clave pública, explicó que el poseedor de estos certificados podría utilizarlos en ataques de intermediario (man-in-the-middle) para interceptar las comunicaciones entre los usuarios finales y el servicio DNS de Cloudflare.

Imagina que estás hablando por teléfono con tu banco, pero hay alguien en la línea escuchando todo y, peor aún, capaz de cambiar lo que dices o lo que escuchas. Ese es el nivel de riesgo al que nos enfrentamos.

Lecciones aprendidas y mirada al futuro

Este incidente nos recuerda que la ciberseguridad no es sólo responsabilidad de los usuarios finales o de las empresas que operan servicios. También implica a las autoridades certificadoras, a los programas de certificados raíz y a todos los actores que forman parte de la cadena de confianza de Internet.

La buena noticia es que, al menos en este caso, no hay evidencia de que los certificados hayan sido utilizados activamente en ataques. Además, el servicio VPN WARP de Cloudflare, según confirmó la propia empresa, no se vio afectado por este problema.

Sin embargo, este incidente debería servir como una llamada de atención para fortalecer los sistemas de monitorización y respuesta ante la emisión fraudulenta de certificados. No podemos permitirnos cuatro meses de vulnerabilidad en servicios tan críticos para la infraestructura de Internet.

La ciberseguridad es como una cadena: tan fuerte como su eslabón más débil. Y este incidente nos muestra que incluso con sistemas aparentemente robustos como la Transparencia de Certificados, seguimos teniendo eslabones que necesitan reforzarse.