Java e outros sistemas podem precisar de correções separadas
A substituição do certificado de um site pode não resolver todas as dependências de um ambiente empresarial, de acordo com Sakshi Grover, diretor de pesquisa da IDC. Ela disse que a exposição residual está em sistemas que mantêm seus próprios armazenamentos confiáveis e não são atualizados na mesma programação que os navegadores. Isso inclui armazenamentos de chaves Java, tempos de execução de linguagem, imagens de contêiner, configurações mútuas de TLS, proxies, balanceadores de carga, VPN e dispositivos de segurança e dispositivos incorporados.
“A descoberta mais difícil para muitas organizações será que elas não conseguem responder a essas perguntas”, disse Grover, referindo-se a onde as decisões de confiança de certificados são tomadas fora dos navegadores e sistemas operacionais.
Grover observou que o Google relatou não ter encontrado nenhum certificado vinculado aos intermediários afetados nos registros de transparência de certificados antes de serem bloqueados. Ela disse que isso é reconfortante para os clientes que aplicam a transparência dos certificados, mas alguns aplicativos e dispositivos que não são de navegador não o fazem. A exploração também exigiria que um invasor estivesse posicionado para interceptar o tráfego, disse ela, descrevendo o risco restante como limitado e direcionado, em vez de amplo.
