Como os CA tradicionais estão perdendo o controle dos certificados e possíveis razões pelas quais o Chrome terá uma nova Root Store

É tudo uma questão de confiança. Esta frase é válida em qualquer campo. O dinheiro, por exemplo, nada mais é do que uma transferência de confiança, porque obviamente, confiamos que por um pedaço de papel que não tem valor físico podemos obter bens e serviços. A confiança na navegação vem de certificados raiz. Enquanto confiarmos neles, saberemos que a nossa navegação não está a sofrer interferências e poderemos visitar e inserir dados em sites com certas garantias. Mas em quem devemos confiar na escolha desses certificados raiz? Nós confiamos nos fornecidos pelo navegador ou no sistema operacional? O Google mudou de guia e deseja ter seu próprio sistema de Root Sotre.

No começo era o CAB/Forum

É o fórum de entidades relevantes da Internet (principalmente CAs e navegadores). Votar e decidir sobre o futuro da utilização de certificados e TLS em geral. Ou não. Porque naquele ano, testemunhamos como um fabricante relevante agiu independentemente do resultado de uma votação e aplicou unilateralmente seus próprios critérios. Em 2019, eles votaram se a vida útil dos certificados TLS/SSL deveria ser reduzida para um ano. O resultado foi não. Mas isso não importa. Os navegadores tomaram a palavra. O Safari em fevereiro de 2020 declarou unilateralmente que marcaria como inválidos os certificados criados por mais de 398 dias a partir de 1º de setembro. Firefox e Chrome vieram em seguida. Votar entre as partes envolvidas (principalmente CAs e navegadores) foi inútil.

Outro exemplo é como o Chrome conduziu de certa forma a «depreciação» dos certificados que utilizavam SHA-1, sendo cada vez mais esteticamente agressivo com a validade desses certificados (cruz vermelha, alertas…) e às vezes sem estar alinhado com os prazos fixados pela o CAB/Forum.

Nada de ruim em si mesmo, não deve ser mal interpretado. Os navegadores podem fornecer alguma agilidade nas transições. O problema é que os interesses das autoridades certificadoras, com um plano de negócios claro, nem sempre coincidem com os dos navegadores (representados por empresas com interesses às vezes conflitantes). No final das contas, parece que quem está mais próximo do usuário tem a vantagem. É inútil para as CAs decidirem emitir certificados com duração de mais de um ano se o navegador usado por 60% dos usuários for marcá-los como não confiáveis. Popularidade, proximidade com o usuário, resulta em um valor em si mesmo que o Chrome e outros exploram (como o Internet Explorer fazia em sua época) para impor «padrões».

As Root Stores… Cada um tinha a sua e agora o Chrome quer uma

O Windows sempre teve uma Root Store com os certificados raiz em que confia. Alimenta Internet Explorer, Edge… Apple igual, Android também. O navegador mais popular com seu Root Store independente foi o Firefox. E isso às vezes trazia problemas. Deixe-os contar ao FNMT e à incrível história do Firefox e de seu certificado raiz que faltava até pouco tempo atrás. Também alguma controvérsia. Em 2016, o Firefox foi o primeiro a parar de confiar no WoSign e StartCom por duvidar de suas práticas. O resto veio imediatamente. Por outro lado, em 2018, Apple, Google e Firefox deixaram de confiar nos certificados da Symantec. Para isso, eles usaram o bloqueio tradicional (por vários meios) e não necessariamente deixando de incluí-los em sua Root Store.

Em geral, os navegadores mudaram de guia nesse sentido. Se o Edge quisesse parar de confiar em algo, a Microsoft cuidou disso no Windows. Se era o Safari, a Apple o removeu do Root Store para Mac e iPhone. Se o Chrome quisesse controlar em quem confiar, poderia fazê-lo no Android, mas … E no Chrome no Windows, no Mac, iPhone … e no Chrome no Linux? Essa peça estava faltando no quebra-cabeça e o tornava dependente do julgamento de terceiros.

Agora ele quer sua própria Root Store para não depender de ninguém. Em seu estabelecimento onde defende o movimento, ele fala principalmente sobre o fato de proporcionar homogeneidade nas plataformas . Nem todos eles, porque menciona especificamente que esta etapa será evitada no iOS e, portanto, o Chrome continuará a «puxar» a root store imposto pela Apple. Quanto ao resto, explica seus critérios de inclusão como um certificado raiz confiável (que em princípio são os padrões). E isso, é claro, vai responder a incidentes que minam a confiança na CA.

Mas por que deseja um armazenamento raiz? Em 2019 a Mozilla voltou a lembrar porque sempre o fez e porque era necessário: principalmente para “refletir os seus valores” (o que os outros também podem traduzir como “interesses”). Mas, além da homogeneidade que a Mozilla também menciona, uma frase em sua explicação que acerta o alvo é “In addition, OS vendors often serve customers in government and industry in addition to their end users, putting them in a position to sometimes make root store decisions that Mozilla would not consider to be in the best interest of individuals”. O que significa traduzido: existequem se inclina aos interesses políticos ou de mercado. E não queremos que isso tenha impacto sobre o usuário. Em uma palavra: desconfiança. Mozilla está desconfiado. Também menciona que o fato de o sistema operacional inserir certificados para analisar o tráfego em sua Root Store (como o antivírus) não os afeta . Sempre colocando as liberdades individuais em primeiro lugar, como já fez ao impor o DoH e forçando de uma forma a escolher entre segurança e privacidade.

E as motivações do Google? Eles serão semelhantes? No papel, sim, eles querem homogeneidade. Mas não esqueçamos que quem o controla, como a Mozilla sutilmente lembrou, decidir sobre a Root Store independentemente do sistema operacional também permite que você escolha quem, a qualquer momento, pode ter acesso ao tráfego criptografado. Além de ser uma dor de cabeça para o administrador.

Então, no final das contas, parece que é, de novo, uma questão de confiança … ou talvez desconfiança? O Chrome, uma vez maduro e com grande influência no mercado, quer que confiemos nele e em sua política de acesso à Root Store. A isso por sua vez… (à luz das razões que a Mozilla expôs) não poderia ser interpretado como uma leve desconfiança em relação à plataforma onde o Chrome é executado? Não é mais um passo para se distanciar dos próprios CAs? Uma tentativa no final do dia de ter mais controle?