الملخص:
أصدرت Microsoft مؤخرًا تحديثًا لمستند الدعم فيما يتعلق بخطة معالجة المتابعة لحادث شهادة eMudhra: بدءًا من 16 نوفمبر 2026، ستقوم أنظمة Windows بإزالة شهادات جذر eMudhra العشر المتبقية من القائمة الموثوقة من خلال آلية التحديث التلقائي لثقة الشهادة.
ستتلقى أجهزة Windows التي يمكنها الاتصال بخدمة تحديث الشهادات من Microsoft تلقائيًا تغييرات قائمة الثقة بالشهادات، وسيتوقف متصفح Microsoft Edge وWebView2 Runtime أيضًا عن الثقة في الشهادات الجذرية ذات الصلة من خلال تحديث المكونات في 16 نوفمبر.
يثق هذا الحذف في شهادة جذر eMudhra:
في السابق، كان من الممكن استنتاج المفاتيح الخاصة الثمانية للشهادة المتوسطة لـ eMudhra بسبب أخطاء في الإنشاء، تم استخدام ستة منها لشهادات TLS لموقع الويب واثنان لشهادات توقيع التعليمات البرمجية. يمكن لأي شخص لديه هذه المفاتيح الخاصة تزييف الشهادات وانتحال شخصية موقع الويب أو ناشر البرنامج.
قامت Microsoft بحظر الشهادات المتوسطة المتأثرة من خلال آلية تحديث الشهادات في 20 أكتوبر، وسيتم أيضًا حظر جميع الشهادات الطرفية الصادرة عن هذه الشهادات المتوسطة تلقائيًا. في 26 أكتوبر، قامت Microsoft بإزالة 7 شهادات جذر مرتبطة بسلسلة الشهادات ذات الصلة من قائمة الثقة، بما في ذلك 6 شهادات جذر eMudhra G3 وشهادات موقعة بشكل مشترك لخدمات شهادات AAA.
الترتيب المقرر في 16 نوفمبر هو مواصلة معالجة شهادات جذر eMudhra العشرة المتبقية. قالت Microsoft إن جميع أجهزة Windows التي يمكنها الاتصال بخوادم Microsoft يمكنها تلقي تغييرات قائمة الثقة بالشهادات تلقائيًا. لا تتطلب هذه الخطوة من المستخدمين معالجة التحديثات أو تثبيتها يدويًا.
سيتم التعامل مع Edge وWebView2 من خلال تحديثات المكونات:
سيقوم متصفح Microsoft Edge وWebView2 Runtime بإزالة الثقة الافتراضية لشهادات الجذر ذات الصلة المتبقية من خلال مكون بيانات تعريف PKI في 16 نوفمبر. وتقول Microsoft إن الجهاز يتحقق مرة واحدة كل 10 ساعات، وأيضًا بعد تشغيل التطبيق، لذلك يمكن لكل من متصفح Edge والتطبيقات التي تستخدم WebView2 تلقي تغييرات ثقة الشهادة من خلال تحديثات المكونات.
بالنسبة للأجهزة التي ظلت في وضع عدم الاتصال لفترة طويلة ولا يمكنها الاتصال بخوادم Microsoft، ستصدر Microsoft حزمة تحديث شهادة دون اتصال في المستقبل. وفي ذلك الوقت، سيحتاج مسؤولو تكنولوجيا المعلومات إلى تنزيل حزمة تحديث الشهادة يدويًا وتحديثها على الأجهزة ذات الصلة.
مقالات ذات صلة:
انسحاب eMudhra من أعمال شهادات SSL/TLS العالمية بعد فضيحة مروعة
يستخدم المتحمسون شهادات eMudhra المسربة لإصدار 106000 شهادة لـ Google، والتي يمكنها اجتياز شهادة المفتاح العام CA
شركة eMudhra الهندية تلغي 8 شهادات وسيطة أخرى وتحقق وتكتشف المزيد من الانتهاكات
التعليقات