Google y Mozilla han bloqueado certificados falsos que han sido distribuidos por una entidad china (registrar) y podían ser utilizados para usuarios de Mac, Windows y Linux.

El ingeniero de seguridad de Google Adam Langley dijo en un aviso de amenazas que el problema afecta a numerosos sistemas.

"Los certificados fueron emitidos por una autoridad certificadora intermediaria aparentemente a cargo de una empresa llamada MCS Holdings. Esta certificadora emite por China Internet Network Information Centre (CNNIC)", se podía leer en el aviso.

"CNNIC se incluye en todos los almacenamientos raíz, por lo que los certificados que se emitieron serían de confianza para casi todos los navegadores y sistemas operativos". [...] "Alertamos tan pronto como fue posible a CNNIC y otros navegadores importantes sobre el incidente y bloqueamos el certificado de MCS Holdings en Chrome con CRLSet push".

Langley dijo que los certificados son tan peligrosos que podrían utilizarse para interceptar las comunicaciones de los usuarios web.

"En lugar de mantener la clave privada en un módulo de seguridad de hardware adecuado, MCS Holdings instala un proxy man-in-the-middle", explicó.

"Estos dispositivos interceptan conexiones seguras al hacerse pasar por el destinatario y a veces son utilizados por las empresas para interceptar el tráfico seguro de sus empleados para monitorearlos o por razones legales."

Mozilla publicó un aviso de amenazas por separado, en él prometía a los usuarios que se encontraba trabajando ya en el problema. "Si bien esto no es un problema específico de Firefox, para proteger a nuestros usuarios estamos agregando el certificado revocado en OneCRL, nuestro mecanismo para enviar directamente la información de revocación para Firefox el cual estará disponible en Firefox 37", se podía leer en el aviso.

"Recomendamos a todos los usuarios actualizar a la última versión de Firefox. Firefox 37 y las versiones futuras de Firefox (incluyendo Firefox 38 ESR) contendrán OneCRL, que se utilizará para esta revocación de certificados y otras revocaciones de certificados futuras de este tipo."

Los certificados falsos han sido un problema creciente para profesionales de la seguridad. Microsoft se apresuró a corregir un certificado SSL emitido incorrectamente para el dominio live.fi a principios de marzo.

Greatfire.org informó en enero de una campaña de vigilancia en China contra los usuarios de Outlook mediante un certificado falso.