Falle critiche nell’identità digitale belga Connective: a rischio PIN, firme elettroniche e PC

Un’estensione usata da milioni di persone

Il ricercatore James Arnott, fondatore di Bay Area Labs, ha individuato gravi vulnerabilità in Connective, un’estensione browser sviluppata da Nitro Software Belgium.

Il software è utilizzato da oltre 2 milioni di persone in Belgio, da otto delle dieci principali banche nazionali e da più di 60 agenzie governative. Le versioni precise coinvolte non sono state rese note e non risultano identificativi CVE assegnati.

Nitro ha completato le correzioni nella parte finale di luglio, 146 giorni dopo la segnalazione iniziale. Al ricercatore è stato riconosciuto un premio di 200 dollari.

Qualsiasi sito poteva dialogare con l’applicazione locale

Connective non verificava correttamente l’origine delle richieste provenienti dal browser. Un sito malevolo, o anche una pubblicità incorporata in una pagina legittima, poteva quindi comunicare con l’applicazione installata senza un consenso esplicito.

Questo accesso permetteva di leggere silenziosamente informazioni dalla carta d’identità elettronica e dalle carte di pagamento collegate. Le pagine potevano inoltre alterare il contenuto delle finestre di autenticazione senza mostrare il dominio realmente responsabile della richiesta.

Il risultato rendeva possibile costruire schermate credibili per sottrarre il PIN eID. Il PIN inserito veniva trasmesso alla pagina web richiedente.

Con la carta fisicamente presente nel lettore, un aggressore poteva usare PIN e dati disponibili per generare token di approvazione non autorizzati e creare firme elettroniche legalmente valide. Gli scenari includevano furto d’identità, apertura fraudolenta di servizi e appropriazione di account digitali.

Anche l’esecuzione di codice era possibile

È stata individuata anche una vulnerabilità indipendente dalla presenza della carta eID nel lettore. Attraverso l’elaborazione di file locali, un sito ostile poteva indurre Connective a eseguire codice scelto dall’attaccante con i privilegi dell’utente.

L’attacco richiedeva che la vittima scaricasse un file camuffato da documento ordinario e visitasse una pagina preparata ad hoc. Non erano necessarie autorizzazioni speciali.

Il controllo delle credenziali avrebbe potuto favorire una propagazione simile a quella di un worm, per esempio inviando link malevoli ai contatti della vittima. Non sono stati riferiti episodi di sfruttamento reale.

Le conseguenze potevano estendersi a servizi che utilizzano le firme eID, tra cui il portale governativo CSAM.be e il provider Itsme. Le due piattaforme non risultavano vulnerabili direttamente: il rischio derivava dalla compromissione di Connective.

Correzioni e indicazioni per gli utenti

Nitro ha bloccato le richieste provenienti da origini web non autorizzate e ha aggiunto protezioni specifiche per la gestione del PIN.

Gli utenti dovrebbero:

• installare tutti gli aggiornamenti distribuiti da Nitro;
• verificare che la finestra di autenticazione corrisponda al dominio e al servizio attesi;
• non inserire il PIN in finestre prive di un’identificazione chiara del sito richiedente;
• evitare file scaricati da pagine o messaggi inattesi.

James Arnott ha reso pubblici i risultati durante la conferenza DEF CON e ha pubblicato un’analisi tecnica aggiuntiva.