تُتيح هيئات إصدار الشهادات (CAs) إصدار شهادات SSL/TLS لأي موقع إلكتروني. في حال اختراق المفتاح الخاص لهذه الهيئات (فقدانه أو اختراقه)، يُمكن إصدار شهادات مزيفة لاعتراض جميع الاتصالات وفك تشفيرها، مما يُشكل خطرًا حقيقيًا على أمن المستخدمين وخصوصيتهم. وقد تبيّن أن ثماني شهادات وسيطة تابعة لشركة eMudhra Limited، وهي شركة هندية، قد تعرضت للاختراق. وقد ارتكبت الشركة إهمالًا جسيمًا في إنشاء هذه الشهادات باستخدام طريقة غير آمنة تمامًا لتوليد المفاتيح. إذا كنت ترغب في معرفة ما إذا كان متصفحك قد ألغى هذه الشهادة الوسيطة، فستجد جميع التفاصيل أدناه.
ما الذي حدث؟
تم اختراق المفاتيح الخاصة لثماني شهادات وسيطة من هيئة إصدار الشهادات الإلكترونية eMudhra. تكمن المشكلة في أن هذه المفاتيح مرتبطة بشهادات جذرية موثوقة في متصفحي الويب فايرفوكس وكروم، بالإضافة إلى متاجر شهادات مايكروسوفت وآبل، وغيرها من البرامج التي تستخدم هذه الشهادات الجذرية لضمان عملها السليم.
من الجدير بالذكر أن هذه الهيئة الوسيطة هي الأكبر في الهند، حيث تضم ما بين 600 و850 موظفًا، وتُدرّ ما يقارب 70 مليون دولار سنويًا. هدفها الأساسي هو أن تكون المنصة الرائدة في مجال التوقيع الرقمي وخدمات الثقة، وقد فشلت فشلًا ذريعًا.
تكمن المشكلة الرئيسية في أنها لم تستخدم أرقامًا عشوائية ذات طول آمن لتوليد مفاتيح هذه الشهادات، بل استخدمت رقمًا عشوائيًا بسيطًا بين 1 و256. هذا يعني أن أي جهاز كمبيوتر يمكنه اختراق المفتاح في أقل من ثانية، لأنه ليس 256 بت، بل 256 احتمالًا فقط. تُستخدم عادةً تقنية التشفير باستخدام المنحنيات الإهليلجية، المتوافقة مع معيار NIST P-384، والتي تحتوي على 384 بت من العشوائية، لجعل اختراقها صعبًا للغاية. كانت المفاتيح الخاصة المخترقة تتراوح أحجامها بين 3 و8 بتات فقط، وهو حجم غير كافٍ بشكل واضح، مما سمح بالاختراق في ثوانٍ معدودة.
- العواقب
تكمن المشكلة في أن أي مستخدم يستطيع إنشاء شهادات جديدة لأي موقع ويب أو تطبيق موثوق، ومن ثم فك تشفير جميع البيانات بسهولة. في الدول التي تفرض رقابة، يُشكل هذا خطرًا إضافيًا كبيرًا، إذ يُمكن للدولة نفسها إنشاء شهادات جديدة للتجسس على مواطنيها.
حذر باحث أمني يُلقب بـ"Wayne" من هذه الثغرة الأمنية برسالة نصها "We have a problem here – Wayne"، وموقعة بالمفاتيح الخاصة لهيئات إصدار الشهادات الثماني المذكورة أعلاه، مما يُثبت اختراقها بالفعل.
قامت هيئة إصدار الشهادات نفسها بإلغاء جميع الشهادات الوسيطة المخترقة، لكن العديد من العملاء الذين لا يستخدمون معلومات الإلغاء ما زالوا عرضة للاختراق وقد يحتاجون إلى تحديثات برمجية.
ماذا يجب أن أفعل لكي أكون محميًا؟
تلقت برامج Root CA والمتاجر الموثوقة الثانوية التحديث المقابل لحماية المستخدمين، ويتم حاليًا حظر الشهادات في Firefox وChrome منذ 17 أكتوبر 2026، وعلى أجهزة Apple منذ 19 أكتوبر 2026، وعلى أجهزة كمبيوتر Microsoft منذ أمس 20 أكتوبر 2026. وتم الإبلاغ عن المشكلة بشكل مسؤول إلى الكيانات الموثوقة في 19 أكتوبر 2026. على الرغم من أن معظم البرامج تم تحديثها بالفعل، لا تزال هناك برامج قيد القيام بذلك.
تم أيضًا تصحيح شهادات CA لتوزيعات Linux الرئيسية:
- شهادات Ubuntu CA: جميع الإصدارات المدعومة مصححة، 22.04 و24.04 و26.04 و26.10.
- شهادات Debian CA: تم تصحيح الإصدارين 12 و13.
- شهادات Arch Linux و Gentoo و Fedora و Alpine Linux
- شهادات CA البرمجية مثل NSS وCURL وGo وPython وPip وغير ذلك الكثير.
يمكنك التحقق من جميع إصدارات البرامج المصححة على موقع emudhra.
- كيف أتأكد من أنني محمي
إذا زرت موقع emudhra.we-have-a-problem.com، فسترى جدولًا يسرد شهادات الشركات المتأثرة ورسالة " Did not connect"، مما يشير إلى أن متصفحك آمن وأن عملية الإلغاء قد تمت بنجاح.
ليست هناك تعليقات:
إرسال تعليق