Revoca di emergenza

Procedura per la revoca massiva dei certificati in caso di compromissione di una CA.

#!/bin/bash
# emergency-triage.sh
 
echo "=== TRIAGE EMERGENZA ==="
echo "Ora: $(date -Iseconds)"
 
# 1. Quale CA è interessata?
echo ""
echo "CA interessata:"
read -p "Root/Intermediate/End-Entity: " CA_LEVEL
 
# 2. Tipo di compromissione
echo ""
echo "Tipo di compromissione:"
echo "  1. Chiave privata rubata"
echo "  2. Emissione certificati non autorizzata"
echo "  3. Compromissione sistema"
echo "  4. Vulnerabilità algoritmo"
read -p "Selezione: " COMPROMISE_TYPE
 
# 3. Determinare scope
echo ""
echo "Determinazione scope..."
case "$CA_LEVEL" in
    root|Root|ROOT)
        echo "CRITICO: Tutti i certificati dell'intera PKI interessati!"
        SCOPE=$(grep -c "^V" /etc/pki/CA/index.txt)
        ;;
    intermediate|Intermediate|INTERMEDIATE)
        read -p "Quale Intermediate-CA? " INT_CA
        SCOPE=$(grep -c "$INT_CA" /etc/pki/CA/index.txt)
        ;;
    *)
        read -p "Numero certificati interessati: " SCOPE
        ;;
esac
 
echo ""
echo "=== RIEPILOGO ==="
echo "Livello CA: $CA_LEVEL"
echo "Tipo compromissione: $COMPROMISE_TYPE"
echo "Certificati interessati: $SCOPE"
echo ""
 
# Escalation
if [ "$CA_LEVEL" = "Root" ] || [ "$CA_LEVEL" = "root" ]; then
    echo "ESCALATION: Notificare CISO e Direzione!"
    echo "Attivare piano di comunicazione!"
fi

#!/bin/bash
# emergency-ca-offline.sh
 
echo "=== CA OFFLINE ==="
 
# 1. Arrestare servizi CA
systemctl stop pki-ca
systemctl stop ocsp-responder
 
# 2. Bloccare accesso rete
iptables -A INPUT -p tcp --dport 443 -j DROP
iptables -A INPUT -p tcp --dport 80 -j DROP
 
# 3. Bloccare chiavi di firma (HSM)
# pkcs11-tool --module <hsm> --login --deactivate-key --id <key-id>
 
# 4. Acquisizione forense
echo "Creazione immagine forense..."
dd if=/dev/sda of=/backup/forensic/ca-server-$(date +%Y%m%d%H%M%S).img bs=4M
 
echo "CA offline. Nessun nuovo certificato possibile."

#!/bin/bash
# emergency-crl.sh
 
echo "=== CRL DI EMERGENZA ==="
 
# Revocare tutti i certificati della CA interessata
# ATTENZIONE: Operazione distruttiva!
 
read -p "ATTENZIONE: Revocare tutti i certificati? (REVOKE/abort): " confirm
[ "$confirm" != "REVOKE" ] && exit 1
 
# Backup database attuale
cp /etc/pki/CA/index.txt /etc/pki/CA/index.txt.pre-emergency-$(date +%Y%m%d%H%M%S)
 
# Revocare tutti i certificati validi
grep "^V" /etc/pki/CA/index.txt | while IFS=$'\t' read status expiry revoke serial unknown subject; do
    echo "Revoca: $serial - $subject"
    openssl ca -config /etc/pki/CA/openssl.cnf \
        -revoke "/etc/pki/CA/newcerts/${serial}.pem" \
        -crl_reason keyCompromise \
        -batch
done
 
# Generare nuova CRL (validità breve!)
openssl ca -config /etc/pki/CA/openssl.cnf \
    -gencrl \
    -crlhours 1 \
    -out /var/www/pki/emergency.crl
 
# Distribuire CRL immediatamente
echo "Distribuzione CRL di emergenza..."
scp /var/www/pki/emergency.crl crl-server:/var/www/html/crl/
scp /var/www/pki/emergency.crl cdn-origin:/var/www/crl/
 
echo "CRL di emergenza distribuita."
echo "URL CRL: http://crl.example.com/crl/emergency.crl"

NOTIFICA EMERGENZA: Compromissione PKI

A: IT-Security, IT-Operations, Direzione
Da: Team PKI
Ora: [TIMESTAMP]

STATO: INCIDENTE SEV-1

RIEPILOGO:
La [Root/Intermediate] CA è stata compromessa.
Tutti i certificati emessi verranno revocati.

IMPATTI:
- Certificati interessati: [NUMERO]
- Sistemi interessati: [ELENCO]
- Downtime stimato: [ORE]

MISURE IMMEDIATE:
1. CA messa offline
2. CRL di emergenza generata
3. Comunicazione ai sistemi interessati

PROSSIMI PASSI:
1. Analisi forense
2. Costruzione nuova CA
3. Riemissione di tutti i certificati

CONTATTI:
Team PKI: pki-emergency@example.com
Security: security@example.com
Hotline: +49 xxx xxxxx

COMUNICATO DI SICUREZZA

[ORGANIZZAZIONE] ha rilevato che [DESCRIZIONE].

I servizi interessati sono stati messi offline in via precauzionale.
Stiamo lavorando a una soluzione e vi informeremo sugli aggiornamenti.

Per domande: security@example.com

#!/bin/bash
# emergency-recovery.sh
 
echo "=== RIPRISTINO ==="
 
# 1. Nuova Root-CA (se compromessa)
echo "Opzione 1: Nuova Root-CA"
echo "  → Eseguire cerimonia delle chiavi"
echo "  → Vedi: key-ceremony.sh"
 
# 2. Nuova Intermediate-CA
echo ""
echo "Opzione 2: Nuova Intermediate-CA"
echo "  → Far firmare dalla Root"
 
# 3. Riemissione di tutti i certificati
echo ""
echo "Opzione 3: Riemissione certificati"
 
# Lista server da CMDB/Inventario
SERVERS_FILE="/etc/pki/inventory/all-servers.txt"
 
if [ -f "$SERVERS_FILE" ]; then
    total=$(wc -l < "$SERVERS_FILE")
    echo "Riemissione per $total server..."
 
    cat "$SERVERS_FILE" | while read server; do
        echo "Riemissione: $server"
        # Richiedere CSR dal server
        ssh "$server" "openssl req -new -key /etc/ssl/private/server.key -out /tmp/emergency.csr -subj \"/CN=$server\""
 
        # Recuperare CSR
        scp "$server:/tmp/emergency.csr" "/tmp/reissue/${server}.csr"
 
        # Emettere nuovo certificato
        openssl ca -config /etc/pki/CA/openssl.cnf \
            -in "/tmp/reissue/${server}.csr" \
            -out "/tmp/reissue/${server}.pem" \
            -days 365 -batch
 
        # Distribuire certificato
        scp "/tmp/reissue/${server}.pem" "$server:/etc/ssl/certs/server.pem"
        ssh "$server" "systemctl reload nginx || systemctl reload apache2"
    done
fi
 
echo "Ripristino completato."

• Backup/Restore CA – Ripristino backup
• Cerimonia delle chiavi – Creazione nuova CA
• Revoca certificato – Revoca singola

« ← Cerimonia delle chiavi | → Scenari per operatori »

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional