Ricerca Certificati Digitali: Digital Certificates (T1596.003)

La tecnica T1596.003 descrive la ricerca, da parte degli avversari, di dati pubblici sui certificati digitali allo scopo di raccogliere informazioni utili al targeting della vittima. I certificati, emessi da una Certificate Authority (CA) per verificare crittograficamente l'origine di contenuti firmati, custodiscono metadati preziosi: nome dell'organizzazione registrata, sede geografica, indirizzi email amministrativi, sottodomini elencati nel campo Subject Alternative Name (SAN) e catene di fiducia. Ogni volta che un browser negozia una sessione HTTPS SSL/TLS, quel certificato viene servito insieme al contenuto, rendendo l'informazione accessibile a chiunque.

Inquadrata nella tattica TA0043 (Reconnaissance), questa attività si colloca all'inizio della kill chain, nella fase di raccolta passiva che precede qualsiasi contatto intrusivo. L'avversario non tocca i sistemi bersaglio: interroga registri pubblici come i log Certificate Transparency (CT), motori di scansione e servizi di lookup. Il risultato è una mappa dell'infrastruttura esterna, spesso comprensiva di host dimenticati o ambienti di staging esposti inavvertitamente.

L'impatto è indiretto ma abilitante. Le informazioni ricavate alimentano fasi successive: Active Scanning mirato, Phishing for Information, sviluppo o acquisizione di capacità offensive e, in alcuni casi, accesso iniziale tramite External Remote Services o Trusted Relationship. Trattandosi di comportamenti esterni al perimetro difensivo, MITRE cataloga 0 gruppi, 0 software e 0 campagne direttamente associati, con 1 mitigazione applicabile (M1056).