الملخص:
اكتشف باحثون أمنيون مؤخرًا أن هيئة الشهادات الرقمية الهندية eMudhra/emSign قامت بتسريب المفاتيح الخاصة لثماني شهادات متوسطة. وتستخدم هذه الشهادات المتوسطة لإصدار الشهادات الثانوية. لذلك، يمكن للمهاجمين الذين يحصلون على المفاتيح الخاصة إصدار شهادات لأي موقع ويب أو خدمة لتنفيذ عملية اختطاف في الوسط.
والأمر الأكثر إثارة للغضب هو أن المفتاح الخاص للشهادة يتكون من أربعة أحرف فقط. عادةً ما يكون محتوى المفتاح الخاص طويلاً جدًا. لا أحد يعرف كيف يمكن لهذه الشركة الهندية أن تكون شنيعة بما يكفي لإصدار شهادة بمفتاح خاص مكون من أربعة أرقام فقط، ثم استخدام هذه الشهادة المتوسطة لتوقيع شهادات لمواقع وخدمات أخرى.
من أجل منع اختطاف الوسيط، يقوم متصفح Firefox ومتصفح Google وApple وMicrosoft حاليًا بإصدار تحديثات عاجلة أو تحديث قائمة حظر الشهادات لإلغاء جميع شهادات eMudhra التي بها مشكلات. وهذا يعني أن أي شهادة ثانوية موقعة بواسطة الشهادة التي بها مشكلات غير موثوق بها حاليًا بواسطة المتصفحات الرئيسية، وسيرى المستخدمون مطالبة بالاعتراض عند الوصول.
تكمن المشكلة في أن بعض البرامج لا توفر آلية إبطال الشهادات، لذا لا يمكن حظر هذه الشهادات إلا من خلال إصدار إصدارات جديدة. حاليًا، تم إصدار تحديثات البرامج بما في ذلك Go، وNSS، وPython certifi، وRust، وElectron، وما إلى ذلك. ومن المستحسن أن يقوم مستخدمو هذه البرامج بالترقية إلى الإصدار الأحدث على الفور.
استنادًا إلى المعلومات المعروفة حاليًا، لا يتم تسريب المفاتيح الخاصة لهذه الشهادات التي بها مشكلات، ولكن يتم استخدام مولدات المفاتيح الخاصة المعيبة منذ وقت الإصدار. يظهر التحليل الذي نشرته مؤسسة موزيلا أن الأعداد الصحيحة المقابلة للمفاتيح الخاصة الثمانية ذات المنحنى الإهليلجي P-384 كلها أقل من 256، والقيم الفعلية هي 4 و56 و66 و115 و155 و156 و230 و237.
في حين أن المفتاح الخاص العادي P-384 يجب أن يحتوي على حوالي 384 بت من العشوائية، إلا أن هذه المفاتيح تحتوي فقط على عدد قليل من البتات من المعلومات الصالحة، لذلك يمكن العثور على المفتاح الحقيقي بسرعة من خلال طرق شاملة. وبطبيعة الحال، حتى لو لم ينشر الباحثون الأمنيون المفتاح الخاص الآن، فلا يزال بإمكان الآخرين العثور على المفتاح الخاص من خلال طرق شاملة، وبالتالي فإن هذه الشهادات لم تعد آمنة.
استنادًا إلى مشكلات الشهادة، يوصى بأن يقوم المستخدمون بتحديث متصفحاتهم في الوقت المناسب وعدم استخدام الإصدارات القديمة لفترة طويلة. قد لا تتمكن بعض الإصدارات القديمة من تحديث قائمة الإلغاء، وبالتالي لا يمكنها حظر الشهادات القديمة، مما قد يسبب مشكلات أمنية خطيرة للوصول اليومي.
التعليقات