Raízes de CA privadas podem emitir certificados sem log de transparência

O que aconteceu e o que fazer

O autor descreve que raízes de inspeção TLS instaladas em notebooks corporativos, como as usadas em soluções da Zscaler, podem emitir certificados para qualquer site. Como os navegadores exigem registro em logs de transparência de certificados apenas de autoridades publicamente confiáveis, esses certificados locais não deixariam rastros nesses logs. Segundo o post, isso cria uma lacuna real para modelos de ameaça, pois raízes instaladas localmente podem se passar por domínios sem deixar evidências públicas.

Na prática, uma empresa poderia tratar as raízes de inspeção como ativos sensíveis: inventariar as CAs presentes nos endpoints gerenciados, alertar sobre instalações novas ou não autorizadas e restringir, por name constraints, os domínios que cada CA de inspeção pode emitir. Também vale registrar as emissões das CAs internas em um log próprio e cruzar essas evidências com telemetria de endpoint e de proxy, além de avaliar fixação de certificados em serviços críticos. Isso exige pipelines de coleta e monitoramento sob controle da própria organização.

Como a consultoria pode ajudar

Diagnóstico das raízes de confiança e das CAs de inspeção nos endpoints, com inventário, avaliação de name constraints e desenho de monitoramento de emissões, implementado na infraestrutura do cliente.

Próximo passo

Envie uma breve descrição do seu ambiente, incluindo o uso de inspeção TLS e a gestão dos notebooks, e receba uma proposta com escopo definido pela Wendelmaques.