الملخص:
قامت Apple مؤخرًا بحظر ثماني شهادات رقمية بها مشكلات أمنية خطيرة على أجهزة iOS وiPadOS لمنع المهاجمين من استخدام هذه الشهادات لإخفاء أنفسهم كمواقع ويب شرعية ثم تنفيذ هجمات تصيد احتيالي أو هجمات وسيطة أو سرقة بيانات المستخدم. ومع ذلك، يذكر الباحثون الأمنيون أن بعض أدوات نظام macOS ربما لا تزال تثق في هذه الشهادات التي بها مشكلات، ولا يزال مستخدمو Mac ومسؤولو النظام بحاجة إلى الاهتمام بالتحديثات الأمنية اللاحقة.
تتضمن هذه الحادثة ثماني شهادات متوسطة صادرة عن eMudhra، وهي هيئة شهادات هندية. تعد الشهادات الرقمية جزءًا مهمًا من نظام أمان الإنترنت. عندما يصل المتصفح إلى موقع ويب، فإنه سيستخدم الشهادة للتحقق من هوية الخادم وحماية نقل البيانات من خلال اتصالات HTTPS المشفرة. على سبيل المثال، عندما يزور أحد المستخدمين موقعًا إلكترونيًا للبنك، يحتاج المتصفح إلى التأكد من أن الاتصال يتم بالفعل بخادم البنك وليس موقع ويب مزيفًا أنشأه مهاجم.
في العادة، يجب على المراجع المصدقة استخدام مفاتيح التشفير القوية بما يكفي لإصدار الشهادات لضمان عدم تمكن الجهات الخارجية غير المصرح لها من انتحال هوية موقع ويب موثوق به. ومع ذلك، اكتشف الباحثون الأمنيون أن الشهادات الثماني المشاركة في eMudhra بها مشكلات خطيرة للغاية في إنشاء المفاتيح، وتبين أن مفاتيحها الخاصة عبارة عن أعداد صحيحة أقل من 256. وهذا يعني أن المهاجم يحتاج فقط إلى تجربة عدد صغير جدًا من القيم المحتملة للحصول على فرصة لاستعادة المفتاح الخاص ذي الصلة، دون الحاجة تقريبًا إلى حسابات معقدة.
وفقًا لتحقيقات موزيلا، من السهل للغاية تخمين هذه المفاتيح الخاصة. بالنسبة للتشفير الحديث، فإن هذا الموقف يعادل استخدام رقم بسيط للغاية ككلمة مرور للحساب، وهو غير قادر تمامًا على توفير الأمان العادي. بمجرد حصول المهاجم على المفاتيح الخاصة ذات الصلة، من الممكن تزوير شهادات أخرى صادرة عن هذه الشهادات، مما يجعل البرنامج المتأثر يعتقد خطأً أن الاتصال هو موقع ويب شرعي.
تكمن خطورة هذا النوع من الهجمات في أن المهاجم لا يحتاج بالضرورة إلى اختراق خادم موقع الويب المستهدف بشكل مباشر. إذا كان من الممكن تزوير شهادة HTTPS موثوقة ودمجها مع اعتراض حركة مرور الشبكة ووسائل أخرى، فقد ينتحل المهاجم شخصية بنك أو مؤسسة أو موقع ويب شرعي آخر، ويحث المستخدمين على إرسال كلمات المرور أو معلومات الهوية أو البيانات الحساسة الأخرى دون علمهم. قد يقوم المهاجمون أيضًا بتعديل محتوى صفحات الويب التي يتلقاها المستخدمون لمزيد من عمليات الاحتيال أو نشر البرامج الضارة.
تم الإبلاغ عن المشكلة ذات الصلة إلى فريق أمان المتصفح في 17 أكتوبر 2026. وبعد ذلك، اتخذت Google وMozilla وشركات مصنعة أخرى إجراءات لمنع استمرار الثقة في الشهادات المتأثرة. تقوم Mozilla بتوزيع معلومات الحماية من خلال آلية حظر شهادة OneCRL الخاصة بـ Firefox. لا يحتاج المستخدمون عادةً إلى تحديث المتصفح يدويًا أو إعادة تشغيل الجهاز للحصول على الحماية ذات الصلة. قامت Google أيضًا بتحديث آلية حظر شهادات Chrome واتخذت إجراءات تقييدية على الشهادات ذات الصلة.
بدأت شركة Apple في نشر إجراءات الحظر ذات الصلة في 19 أكتوبر. ووفقًا للباحثين الأمنيين، تمنع هذه الإجراءات البرامج التي تعتمد على آلية التحقق من شهادة نظام Apple من الوثوق في الشهادات المتأثرة. اتخذت شركة Apple الإجراء في وقت متأخر قليلاً عن Google وMozilla، ولكن تم الآن تضمين الشهادات ذات الصلة في الحصار.
من الجدير بالذكر أنه لا يتم استخدام جميع هذه الشهادات الثمانية لاتصالات HTTPS لموقع الويب. ستة منها عبارة عن شهادات متعلقة بـ TLS، والاثنتين الأخرتين تتضمنان أغراض توقيع التعليمات البرمجية. تُستخدم شهادات توقيع التعليمات البرمجية للتحقق من هوية ناشر البرنامج وما إذا كان قد تم العبث بالبرنامج. ولذلك، فإن العيوب الخطيرة في المفتاح الخاص للشهادة قد يكون لها أيضًا تأثير على توزيع البرامج وأنظمة الثقة.
ومع ذلك، لا يوجد حاليًا أي دليل على أن المهاجمين استخدموا هذه الشهادات لتنفيذ هجمات فعلية. وأشار الباحثون الأمنيون إلى أنه على الرغم من أن الشهادات المعنية بها عيوب خطيرة، إلا أنه لم يتم استخدامها جميعها في بيئات الإنتاج. ذكرت Google أيضًا أنه قبل اتخاذ إجراءات الحظر، لم يتم العثور على أي شهادات TLS صادرة عن الشهادات المتوسطة الست المتأثرة وتم إدخالها في سجلات السجل ذات الصلة في سجلات شفافية الشهادات العامة. وهذا يقلل إلى حد ما من خطر إساءة استخدام شهادات HTTPS العامة المعروفة، ولكنه لا يستبعد تمامًا التأثير المحتمل في البرامج الأخرى أو البيئات غير العامة.
بالنسبة لمستخدمي Mac، يكون الوضع أكثر تعقيدًا بعض الشيء. على الرغم من أن شركة Apple قد اتخذت إجراءات الحظر، إلا أن مهندس التشفير في Mozilla Dennis Jackson أشار إلى أن حليقة أداة سطر الأوامر المدمجة في نظام التشغيل MacOS ربما لا تزال تواجه مشكلات ثقة. مجموعة الشهادات التي تستخدمها هذه الأداة لا تتحقق من معلومات الإلغاء الخاصة بالشهادات ذات الصلة، لذلك في بعض الحالات قد يستمر برنامج Curl في قبول الشهادات حتى لو تم الإعلان عن أنها غير صالحة.
يعني هذا أن البرامج النصية أو أدوات التطوير أو الخدمات التلقائية التي تعتمد على حليقة macOS المضمنة لطلبات الشبكة قد تحتاج إلى التحقق بشكل إضافي من سلوك التحقق من الشهادة الخاصة بها. خاصة بالنسبة للأنظمة التي قبلت الشهادات ذات الصلة، يجب عليك إيلاء المزيد من الاهتمام لما إذا كانت إجراءات حظر الشهادات تغطي بالفعل البرنامج وآلية تخزين الثقة المستخدمة.
بالنسبة للمستخدمين العاديين، فإن الطريقة الأكثر أمانًا هي التثبيت الفوري لتحديثات أمان النظام والبرامج التي تقدمها Apple والحفاظ على أحدث إصدار للمتصفح. يجب على مسؤولي المؤسسات والمطورين التحقق مما إذا كانت الخوادم وأدوات سطر الأوامر والتطبيقات ومخازن الشهادات المخصصة لا تزال تثق في الشهادات المتأثرة واتباع توصيات الكشف والتخفيف المقدمة من الباحثين الأمنيين.
كشف هذا الحادث أيضًا عن مشكلة يمكن التغاضي عنها بسهولة في نظام الشهادات الرقمية: حتى إذا كان HTTPS يستخدم خوارزمية تشفير ناضجة، وإذا كان المفتاح الخاص المستخدم في عملية إنشاء الشهادة بسيطًا للغاية، فقد يظل من السهل اختراق نظام التحقق من الهوية بالكامل. تقنية التشفير نفسها لا تفشل. تكمن المشكلة الحقيقية في روابط إنشاء المفاتيح وإدارة الشهادات.
ذكرت eMudhra أنه لا يوجد دليل على تعرض بنيتها التحتية للاختراق، ولم يتم اكتشاف أي تسرب للبيانات ذات الصلة. تعمل الوكالة مع العملاء المحتمل تأثرهم للمساعدة في استبدال الشهادات ذات الصلة. نظرًا لأنه تم إنشاء هذه الشهادات في أبريل 2025 ووجود المشكلة منذ أكثر من عام، تحتاج الوكالات ذات الصلة إلى مزيد من التأكيد ما إذا كانت البرامج أو الأنظمة أو الخدمات الأخرى قد اعتمدت على هذه الشهادات لإنشاء علاقات ثقة.
بشكل عام، يعد حظر Apple لهذه الشهادات الثماني خطوة مهمة في إحباط الهجمات المحتملة، ولكن إلغاء الشهادة لا يعني أن جميع البرامج ستتوقف فورًا عن الثقة بها. بالنسبة للمستخدمين العاديين، عادةً ما يكون تحديث الأنظمة والمتصفحات في الوقت المناسب هو الإجراء الوقائي الأكثر مباشرة؛ بالنسبة للمطورين والمؤسسات، من الضروري إجراء مزيد من التحقق من آلية التحقق من الشهادة للتأكد من أن جميع التطبيقات ذات الصلة يمكنها التعرف بشكل صحيح على الشهادات منتهية الصلاحية.
التعليقات