الملخص:
في الأسبوع الماضي، جذب إصدار المفتاح الخاص لشهادة eMudhra لشركة Caotai الهندية انتباه الصناعة بأكملها. استخدمت جميع شهادات CA المتوسطة الثماني الصادرة عن الشركة مفاتيح ضعيفة. من بينها، تم تضخيم المفتاح الخاص لشهادة EM OV TLS CA-G3C إلى الرقم 4 فقط، لذلك يمكن لأي شخص استخدام هذه الشهادة مباشرة لإصدار شهادات فرعية لأسماء النطاقات الأخرى.
ومع ذلك، فقد تم إبطال هذه الشهادات التي بها مشكلات بواسطة المتصفحات وأنظمة التشغيل. ومع ذلك، قد لا تتحقق بعض الأجهزة من قائمة إبطال الشهادات أو قد لا تتمكن من الحصول على التحديثات. لا تزال الشهادة الملغاة موثوقة، ولا يزال من الممكن استخدام الشهادة الفرعية المستخدمة للإصدار.
لذلك أصدر المتحمسون 106000 شهادة لأسماء نطاقات Google:
لاختبار استخدام eMudhra لإصدار شهادات لأي اسم نطاق، فإن اسم النطاق الأول هو بالطبع Google (تمامًا كما يفتح المستخدمون المحليون Baidu للتحقق مما إذا كانوا متصلين بالإنترنت)، لذلك سجل سجل شفافية شهادة CT الحالي أن المتحمسين أصدروا ما يصل إلى 106000 شهادة لاسم النطاق الرئيسي لـ Google Google.com.
في الوقت الحالي، يسجل سجل شفافية الشهادات 107000 سجل إصدار، 99% منها تستخدم أسماء نطاقات Google ككائنات اختبار. يمكن مصادقة هذه الشهادات بواسطة المفتاح العام CA، ولكن نظرًا لإلغاء الشهادة المتوسطة بواسطة المتصفح، سيتم حظر الوصول الفعلي (ما لم يكن من الممكن التحقق من سجل الإلغاء).
لماذا يمكن تسجيل الشهادات الصادرة عني بواسطة CT:
نظرًا لأن إصدار الشهادة وتسجيل سجل CT عمليتان مختلفتان، في الظروف العادية، يستخدم CA المفتاح الخاص المتوسط لـ CA لإصدار الشهادة بعد التحقق من التحكم في اسم المجال. يمكن لأي شخص لديه المفتاح الخاص المسرب إنشاء شهادة محليًا، وكتابة أي اسم مجال في حقل اسم DNS، ثم استخدام المفتاح الخاص للتوقيع.
ينص RFC 9162 على أنه يمكن لأي شخص إرسال شهادة إلى سجل CT وإرفاق سلسلة الشهادات لفحص السجل. سجل CT مسؤول عن تسجيل ونشر الشهادة للمراجعة الخارجية لحالة إصدار CA، وليس مسؤولاً عن مراجعة حقوق التحكم في اسم المجال لـ CA. لذلك، يمكن التحقق من المتحمسين إذا قاموا بتقديمه إلى سجل CT عند إصدار الشهادات.
التعليقات