الملخص:
في أعقاب الكشف في أكتوبر عن إمكانية استخلاص المفاتيح الخاصة لثماني شهادات CA وسيطة بسهولة، أعلنت هيئة الشهادات الرقمية الهندية eMudhra مؤخرًا عن إلغاء ثماني شهادات CA متوسطة أخرى استنادًا إلى خوارزمية RSA. تأتي هذه الشهادات من نفس عملية إنشاء المفاتيح مثل شهادات ECDSA التي كانت بها مشكلات سابقًا، وكانت هناك مخالفات في التعامل مع المفاتيح الخاصة.
يؤثر البرنامج النصي غير الصحيح على مجموعتي مفاتيح الشهادات:
كشف التحقيق أن الحادث نشأ من عملية توليد المفاتيح في 30 أبريل 2025، عندما قامت eMudhra بإنشاء 16 مجموعة من الشهادات المتوسطة ومفاتيح البنية التحتية في مناطق مختلفة. استخدمت العملية برنامج Python النصي الذي كتبته الشركة للتعامل مع الترحيل بين وحدات أمان الأجهزة المشتركة بين البائعين.
قامت وحدة الأمان في البداية بإنشاء المفتاح بشكل صحيح، لكن البرنامج النصي الذي كتبته الشركة احتفظ فقط بالبايت الأول من المفتاح الخاص عند إعادة قراءة كائن مفتاح ECDSA وإنشائه. ونتيجة لذلك، فإن قيم المجموعات الثماني لمفاتيح ECDSA الخاصة كلها أقل من 256، والتي يمكن استخلاصها بسهولة من المعلومات العامة، كما تُستخدم هذه المفاتيح الضعيفة أيضًا لإنشاء طلبات الشهادات.
تظل 8 مجموعات إضافية من مفاتيح RSA4096 سليمة، لكن مادة المفتاح الخاص تدخل أيضًا إلى ذاكرة عملية Python المضيفة عند إعادة الاستيراد. لا يتوافق وضع التشغيل هذا مع متطلبات CA/Browser Forum فيما يتعلق بنقل المفتاح الخاص CA، لذلك يجب أيضًا إلغاء هذه الشهادات، ويقوم eMudhra بوضع علامة على شهادات RSA هذه على أنها ليست مفتاحًا مخترقًا، ولكن على أنها متوقفة.
حدثت حالات شاذة في أيار (مايو) 2025 ولكن لم يتم الاهتمام بها:
أظهر التحقيق أيضًا أن eMudhra واجه حالات شاذة في الفترة من مايو إلى يونيو 2025: فشلت قوائم إلغاء الشهادات المقابلة لبعض شهادات ECDSA المتوسطة في اجتياز التحقق من التوقيع. وكشف التحقيق أن سبب هذا الشذوذ هو أن الشهادة المتوسطة استخدمت مفتاحًا ضعيفًا تم إعادة إنشائه بواسطة برنامج نصي، بينما كانت قائمة الإلغاء الأصلية لا تزال موقعة بواسطة المفتاح الأصلي.
قامت eMudhra بحل مشكلة التحقق عن طريق تغيير الكائن الرئيسي المستخدم للتوقيع، لكنها لم تحلل بعناية السبب المحدد للخطأ. إذا تم إجراء تحقيق متعمق في ذلك الوقت، فسيكون من السهل العثور على أن مفتاح شهادة الإنتاج عبر الإنترنت يتكون من حرف واحد فقط4.
قررت eMudhra الخروج من عمل شهادة TLS:
بعد هذا الحادث الأمني، قررت eMudhra التوقف عن تشغيل أعمال شهادة TLS بسبب انخفاض نسبة الإيرادات من هذا العمل والضرر الذي لحق بسمعة الشركة بسبب الحادث الأمني. يمكن ملاحظة أن شركة Caotai هذه ليست قلقة بشأن تأثيرها على الإنترنت العالمي. يبدو أنه من الأفضل إيقاف هذا العمل دون كسب المال والتأثير على سمعته.
في الوقت الحالي، توقفت جميع المتصفحات الرئيسية عن الثقة في شهادات ECDSA الثمانية التي تم إبطالها في الأصل بواسطة eMudhra. ومع ذلك، قد لا يتم تحديث أدوات سطر الأوامر ذات الصلة أو لا تتحقق من إعدادات إبطال الشهادة بشكل افتراضي. لا يمكن لبعض الأنظمة والبرامج الثابتة القديمة تحديث الشهادات. لا تزال هذه الأجهزة متأثرة بمفاتيح eMudhra الضعيفة ويمكن للوسطاء اختراقها.
مقالات ذات صلة:
انسحاب eMudhra من أعمال شهادات SSL/TLS العالمية بعد فضيحة مروعة
يستخدم المتحمسون شهادات eMudhra المسربة لإصدار 106000 شهادة لـ Google، والتي يمكنها اجتياز شهادة المفتاح العام CA
تتهم Google شركة eMudhra الهندية بتأخير إصدار تقرير الحادث. يقول موظفوها إن اهتمام وسائل التواصل الاجتماعي يجعل من الصعب على الشركة إجراء التحقيقات
التعليقات