Verificare la sicurezza del sito HTTPS dopo la compromissione delle chiavi eMudhra

Recentemente, otto chiavi private associate a certificati intermedi della Certification Authority (CA) eMudhra sono risultate compromesse. Questo incidente consente a un aggressore di creare certificati HTTPS falsi per siti che non controlla, rendendo potenzialmente intercettabile una connessione che sembrerebbe sicura. Per gli utenti finali, il rischio principale non è la decifratura dei dati in transito, ma l'autenticità del server con cui ci si sta collegando. Ecco come verificare manualmente se il tuo browser o il tuo sistema operativo hanno già applicato le protezioni necessarie e come controllare la validità di una specifica connessione.

Cosa ti serve

• Un browser web aggiornato (Firefox, Chrome, Safari o Edge).
• Accesso alle impostazioni di sicurezza del browser o una estensione per ispezionare i certificati (es. Certificate Patrol o simili).
• Pazienza: la verifica manuale richiede pochi secondi per ogni sito.

Passi

1. Naviga verso il sito web che desideri verificare e assicurati che l'indirizzo inizi con https:// e che sia presente il lucchetto di sicurezza nell'area degli indirizzi.
2. Fai clic sul lucchetto di sicurezza (o sull'icona informativa) per aprire il pannello dei dettagli della connessione. Seleziona l'opzione per visualizzare i dettagli del certificato (spesso etichettata come "Certificato valido" o "Dettagli").
3. Nella finestra che si apre, passa alla scheda o alla sezione denominata Dettaglio o Gerarchia. Qui viene visualizzata la catena di fiducia: in alto il certificato del sito, al centro le autorità intermedie e in basso la Root CA.
4. Controlla che il nome della CA intermedia non corrisponda a "eMudhra" o a certificati firmati da essa. Se il certificato è stato revocato correttamente dal tuo browser, l'icona del lucchetto dovrebbe comunque essere verde, ma potrebbe comparire un avviso specifico se il blocco non è ancora stato distribuito.
5. Se utilizzi un sistema operativo o un software specifico (come un container o un runtime Java), verifica che gli aggiornamenti di sicurezza rilasciati tra il 17 e il 20 ottobre 2026 siano stati installati. In caso contrario, il certificato falso potrebbe essere ancora accettato.

Se qualcosa non va

• Il lucchetto è rosso o ci sono avvisi: Non continuare a navigare. Chiudi la scheda e aggiorna il browser all'ultima versione disponibile. I blocchi di eMudhra sono stati distribuiti rapidamente, ma le versioni molto datate potrebbero non averli ancora ricevuti.
• Il certificato mostra una catena sospetta ma il browser non avvisa: Potresti trovarsu un sistema operativo o un software di nicchia che non ha ancora aggiornato il proprio archivio di certificati fidati. In questo caso, disabilita temporaneamente l'accesso a quel sito o usa un browser principale aggiornato.
• Non riesci a vedere la catena completa: Alcuni browser nascondono i dettagli tecnici. Usa un'estensione dedicata all'analisi dei certificati per visualizzare in chiaro la gerarchia delle chiavi.

Per approfondire le basi della sicurezza web e capire come funzionano i protocolli di cifratura, puoi consultare la nostra sezione dedicata a informatica e sicurezza.

Domande frequenti

Devo cambiare password dopo questo incidente?

No, non è necessario modificare le password di routine. L'incidente riguarda la capacità di creare certificati falsi, non l'accesso diretto ai database degli utenti. Tuttavia, se hai notato attività insolite o tentativi di accesso non autorizzati in concomitanza con l'incidente, è prudente rafforzare le credenziali.

Il mio sito web è a rischio?

Se il tuo sito utilizza un certificato firmato direttamente da una Root CA diversa da quella di eMudhra, non sei direttamente coinvolto. Verifica con il tuo provider di hosting quale CA ha emesso il tuo certificato. La maggior parte dei siti italiani ed europei utilizza Let's Encrypt, DigiCert o Sectigo, che non sono interessati da questa specifica compromissione.

Come faccio a sapere se il mio browser è protetto?

La protezione è attiva se il tuo browser è aggiornato a una versione rilasciata dopo il 17 ottobre 2026 (per Firefox e Chrome) o dopo il 19-20 ottobre (per Safari e Edge). L'aggiornamento include la revoca dei certificati intermedi compromessi. Se non sei sicuro, esegui un controllo aggiornamenti manuale nelle impostazioni del browser.

Questo incidente rende HTTPS inutile?

No. HTTPS rimane uno standard fondamentale per la sicurezza. L'incidente di eMudhra dimostra l'importanza della catena di fiducia, ma non invalida la crittografia TLS. I browser hanno reagito in ore, bloccando l'uso delle chiavi compromesse, il che dimostra la resilienza del sistema PKI (Public Key Infrastructure).