- هشت کلید خصوصی متعلق به مرجع صدور گواهی‌نامه هندی eMudhra به خطر افتاده است، که به طور بالقوه به مهاجمان اجازه می‌دهد گواهی‌نامه‌ها را جعل کرده و خود را به عنوان وب‌سایت‌های معتبر جا بزنند.
- سازندگان مرورگرهای اصلی به سرعت این گواهی‌نامه‌ها را مسدود کرده‌اند و هیچ حمله ای گزارش نشده است، اما برخی از نرم افزارهای غیرمرورگری ممکن است همچنان آسیب پذیر باشند زیرا بررسی نمی‌کنند که آیا گواهی‌نامه‌ها ابطال شده‌اند یا خیر.
- محققان گفتند که eMudhra از اعداد صحیح به راحتی قابل حدس به عنوان کلیدهای خصوصی استفاده کرده است، که امکان بازیابی همه هشت مورد را از گواهی‌نامه‌های عمومی در کمتر از یک ثانیه فراهم می‌کند.
اینترنت در تلاش است تا یک حفره در سیستمی را وصله کند که به مرورگر شما می‌گوید کدام وب‌سایت‌ها واقعی هستند.
این موضوع در تاریخ 17 اکتبر آغاز شد، زمانی که یک محقق به سازندگان مرورگر اطلاع داد که هشت کلید مخفی در eMudhra، یک شرکت هندی که وب‌سایت‌ها را تأیید می‌کند، به خطر افتاده است.
محقق به نام Wayne نقص امنیتی را گزارش کرد و برای اثبات آسیب‌پذیری، از هر هشت کلید به خطر افتاده برای امضای دیجیتالی پیام هشدار خود استفاده کرد: «ما اینجا مشکل داریم - Wayne».
هنگامی که کاربر از یک وب‌سایت بازدید می‌کند، مرورگر او یک گواهی دیجیتال را بررسی می‌کند تا تأیید کند که سایت واقعی است. شرکت‌هایی به نام مراجع صدور گواهی‌نامه این گواهی‌نامه‌ها را صادر می‌کنند و eMudhra یکی از آنهاست. طبق The Register، این شرکت بیش از 60 میلیون گواهی‌نامه صادر کرده است.
هر مرجع صدور گواهی‌نامه گواهی‌نامه‌های خود را با یک کلید خصوصی امضا می‌کند. آن را به عنوان یک مهر اصلی در نظر بگیرید. اگر کسی این مهر را بدزدد یا بشکند، می‌تواند گواهی‌نامه‌های معتبری را برای هر وب‌سایتی جعل کند.
کاربران رمزنگاری نیز باید در این مورد نگران باشند، عمدتاً خارج از مرورگر. ربات‌های معاملاتی، اسکریپت‌های معاملاتی و بک‌اند کیف پول‌ها اغلب بر روی پایتون، Node یا Go اجرا می‌شوند. یک گواهی‌نامه جعلی برای API یک صرافی می‌تواند به یک مهاجم در همان شبکه اجازه دهد ترافیک یک ربات را بخواند یا تغییر دهد. تا کنون هیچ حمله رمزنگاری یا حمله‌ای به کاربران گزارش نشده است.
CoinDesk برای اظهار نظر با eMudhra تماس گرفت.
سازندگان مرورگر و توسعه‌دهندگان نرم‌افزار وصله‌های اضطراری را منتشر کرده‌اند. Mozilla این گزارش را درست در ساعت 8 شب UTC در تاریخ 17 اکتبر دریافت کرد و سه ساعت بعد یک مسدودکننده را فعال کرد. Chrome در همان روز گواهی‌نامه‌ها را مسدود کرد. Apple در 19 اکتبر و Microsoft در 20 اکتبر این کار را انجام دادند. eMudhra نیز آنها را ابطال کرده است.
مرورگر Mozilla هشدار داد که رهگیرهای شبکه می‌توانند از این گواهی‌نامه‌های جعلی برای جعل سایت‌های معتبر استفاده کنند و به آنها اجازه دهند داده‌های کاربر را بخوانند یا تغییر دهند.
نحوه خروج کلیدها هنوز مشخص نیست.
"طبق گفته محققان، eMudhra از اعداد صحیح کوچک مانند 4، 56 و 237 به عنوان کلیدهای خصوصی به جای اعداد تصادفی بزرگ 384 بیتی استفاده کرده است،" Cyber Security News در X گفت.
محقق امنیتی Scott Helme یک گام جلوتر رفت.
"یکی از کلیدهای خصوصی مرجع صدور گواهی‌نامه eMudhra عدد 4 است،" او نوشت. "یکی دیگر 56 است و دیگری 115".
یک کلید مناسب یک عدد تصادفی بزرگ است که هیچ کس نمی‌تواند آن را حدس بزند. Helme می‌گوید او همه هشت مورد را در کمتر از یک ثانیه از گواهی‌نامه‌های عمومی بازیابی کرده است و اینکه این کلیدها از آوریل 2025 در معرض دید قرار گرفته‌اند.
مکانیک دقیق نحوه وقوع این فاجعه در بولتن امنیتی رسمی Mozilla آشکار شد. Helme در خواندن یک بلیط باگ Mozilla گفت که eMudhra یک اشکال در اسکریپت راه‌اندازی کلید خود را مقصر می‌داند.
نگرانی واقعی در خارج از مرورگر نهفته است. بسیاری از برنامه‌ها هرگز بررسی نمی‌کنند که آیا یک گواهی‌نامه ابطال شده است یا خیر. "بنابراین، این واقعیت که eMudhra و Sectigo این واسطه‌ها را ابطال کرده‌اند، به آنها کمکی نمی‌کند،" Helme نوشت.
او می‌گوید آزمایش‌های او نشان داد که ابزارهایی مانند curl، Python، Node، Go و Java یک گواهی‌نامه جعلی برای API Stripe را پذیرفته‌اند. وصله‌هایی برای Go، بسته certifi پایتون و ریشه های webpki Rust منتشر شده است. Node.js در زمان آخرین بررسی هنوز در انتظار بود.
توسط: Omkar Godbole