Le recenti vulnerabilità dei certificati TLS di eMudhra evidenziano come anche audit rigorosi possano fallire, rafforzando la necessità di rimuovere le password statiche sui firewall Cisco.
Una delle più grandi catene di farmacie negli Stati Uniti è al centro di un acceso dibattito interno tra il dipartimento IT e gli auditor esterni. Il nodo della discussione è l'autenticazione tramite password sui dispositivi Cisco Firepower che proteggono la rete aziendale. Gli auditor, operanti su base di PCI DSS e HIPAA, denunciano l'uso di credenziali statiche come una vulnerabilità critica, mentre il team IT difende la scelta citando esigenze operative, compatibilità legacy e vincoli di budget.
Il reparto IT ha elencato tre motivi principali:
Gli auditor hanno sollevato tre punti critici:
Il 20 ottobre 2026, Ars Technica ha pubblicato un’indagine che ha scoperto otto certificati intermedi della Certification Authority indiana eMudhra con chiavi private estremamente prevedibili. I valori delle chiavi (es. 4, 56, 66, 115, 155, 156, 230, 237) avrebbero dovuto essere scelti casualmente in uno spazio di 384 bit, ma bastavano poche centinaia di tentativi per ricostruirle.
Entrambi i casi mostrano come processi operativi e controlli di conformità possano dare una falsa sensazione di sicurezza. Le best practice attuali suggeriscono:
Le normative PCI DSS e HIPAA richiedono autenticazione forte e cambio periodico delle credenziali. L'uso di password statiche su firewall e la dipendenza da certificati TLS potenzialmente compromessi possono configurare non conformità sia a livello di protezione dei dati di pagamento sia a quello delle informazioni sanitarie protette (PHI). Le sanzioni per violazioni possono variare da decine di migliaia a milioni di dollari, oltre a danni reputazionali significativi.
L'adozione di Zero Trust Architecture promette di ridurre la dipendenza da password tradizionali e da certificati di autorità intermedie. Le soluzioni di micro‑segmentazione, verifica continua dell'identità e policy di least‑privilege consentono di limitare la superficie di attacco anche in presenza di credenziali compromesse. Tuttavia, la transizione richiede:
Il conflitto tra auditor e IT della catena farmaceutica evidenzia una tensione comune: operatività immediata vs. rigore di sicurezza. Le recenti scoperte sui certificati TLS di eMudhra mostrano che anche sistemi apparentemente certificati possono nascondere vulnerabilità profonde, rendendo indispensabile una revisione completa della gestione delle credenziali, sia a livello di rete (password statiche) sia a livello di crittografia (chiavi TLS). Investire in MFA, AAA, PAM e una PKI robusta è la strada più efficace per garantire continuità operativa e protezione dei dati sensibili, allineandosi alle normative PCI DSS e HIPAA e preparando l'organizzazione a un futuro Zero Trust.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
