شركات تقنية كبرى تحظر شهادات eMudhra بسبب مفاتيح مخترقة

حظرت Google وMozilla وApple ومشروع لغة البرمجة Go الشهادات الموقعة بثمانية مفاتيح مخترقة تابعة لسلطة شهادات (CA). جاء هذا الإجراء رداً على حادثة قد تتيح للمهاجمين انتحال مواقع ويب أو خدمات مشروعة.

ارتبطت المفاتيح المخترقة بشهادات وسيطة أصدرتها سلطة الشهادات الهندية eMudhra. استُخدمت ستة من هذه المفاتيح لإصدار شهادات TLS لمواقع الويب، بينما خُصص المفتاحان المتبقيان لتوقيع الشيفرة.

منع إساءة استخدام الشهادات المزيفة

تهدف عمليات الحظر إلى منع المتصفحات والتطبيقات من الوثوق بشهادات رقمية مزيفة قد يصدرها المهاجمون باستخدام المفاتيح المخترقة. يقلل هذا الإجراء من خطر انتحال مواقع الويب واحتمال اعتراض الاتصالات المشفرة.

غير أن هذه الحماية لا تمتد تلقائياً إلى جميع المستخدمين والتطبيقات. نفذت Mozilla وGoogle وApple عمليات الحظر عبر آليات إبطال الشهادات الخاصة بكل منها. أما التطبيقات المبنية بـ Go فيجب إعادة بنائها باستخدام نسخ مُرقّعة لتلقي الإصلاح، وقد تحتاج برامج أخرى أيضاً إلى تحديثات حسب طريقة إدارتها للثقة بالشهادات.

لا يزال الغموض يحيط بما إذا كان المهاجمون قد استغلوا المفاتيح المخترقة فعلاً لإصدار شهادات مزيفة. قالت Google إن حمايات Certificate Transparency لديها كانت ستمنع وثوق Chrome افتراضياً بشهادات TLS المتأثرة قبل تنفيذ عمليات الحظر.

أشارت Mozilla إلى أن المستخدمين الذين يستخدمون إعدادات Firefox القياسية تلقوا الحظر دون الحاجة إلى تحديث المتصفح أو إعادة تشغيله. وحث القائمون على مشروع Go المستخدمين على الترقية فوراً إلى نسختي Go المُرقعتين 1.27.3 و1.26.10.

eMudhra شركة مقرها الهند تقدم خدمات الهوية الرقمية والتوقيع الإلكتروني والبنية التحتية للمفتاح العام (PKI). تشمل عروضها إصدار الشهادات الرقمية لمصادقة مواقع الويب وتوقيع المستندات الإلكترونية والتحقق من الهوية الرقمية وتأمين المعاملات عبر الإنترنت.

أشار دينيس جاكسون، عضو فريق هندسة التشفير في Mozilla، إلى أن eMudhra أبطأت الشهادات الوسيطة المخترقة. وقال: «عالجت Mozilla وMicrosoft وApple وChrome هذا الأمر بالفعل لمستخدميها عبر أدواتها لتوزيع معلومات الإبطال مثل OneCRL وCRLite وCRLSets». وأضاف أن عملاء آخرين كثراً لا يستهلكون معلومات الإبطال ويحتاجون إلى تحديثات برمجية لضمان توقفهم عن الوثوق بالشهادات الوسيطة المخترقة.

تفاصيل الاختراق لا تزال غامضة

لا تتوفر حالياً تفاصيل حول كيفية حدوث اختراق eMudhra أو توقيته. ذكر جاكسون أن Mozilla علمت بالاختراق أول مرة في 17 أكتوبر من باحث عرّف عن نفسه باسم Wayne فقط. وأثبت الباحث وصوله إلى المفاتيح الخاصة المرتبطة بجميع سلطات الشهادات الوسيطة الثماني باستخدام كل مفتاح لإنشاء توقيع رقمي على رسالة نصها: «We have a problem here – Wayne».

أكملت Mozilla عملية حظر الشهادات المخترقة بعد نحو ثلاث ساعات. أوضح جاكسون أن القائمة المركزية للشهادات المُبطلة لدى Mozilla، التي أُطلقت في 2015، تتيح تقديم هذه الحماية دون مطالبة المستخدمين بتحديث Firefox أو إعادة تشغيله.

ومنذ ذلك الحين، تتعاون Mozilla مع eMudhra وبرامج الجذر الأخرى للتحقيق في السبب الجذري والكشف المسؤول عن الحادثة والمساعدة في حماية المنظومة الأوسع. قال جاكسون إن Mozilla لا تملك حالياً أدلة على تأثيرات مماثلة على سلطات شهادات أخرى.

أفاد عضو في فريق برنامج الجذر في Google Chrome بتلقيه نبأ الاختراق في الوقت نفسه تقريباً الذي تلقت فيه Mozilla النبأ، وأنه عالج المشكلة في أقل من ساعتين. وقال: «بعد الحظر الأولي، قيّمنا جميع شهادات سلطات الشهادات الأخرى ضمن نطاق الثقة في Chrome Root Store ولم نجد أي حالات أخرى لهذا النمط من الفشل». ويعمل الفريق أيضاً مع القائمين على صيانة برمجيات سجلات Certificate Transparency ومشغلي السجلات لرفض الشهادات التي تتسلسل إلى سلطات الشهادات الوسيطة المخترقة هذه في المستقبل.

لم يحدد القائمون على مشروع Go اسم eMudhra صراحة، لكنهم أشاروا إلى خطط لحظر الثقة بمجموعة صغيرة من الشهادات الوسيطة بسبب مخاوف أمنية تشغيلية لم يحددوها.

وللمؤسسات التي تقيّم مدى تعرضها، تشمل الشهادات المتأثرة ست شهادات TLS وسيطة — EM DV TLS CA وEM OV TLS CA وEM EV TLS CA، لكل منها نسختا G3B وG3C — صادرة تحت emSign Root TLS CA – G3. وتشمل أيضاً شهادتي توقيع شيفرة وسيطتين، EM OV CS CA – G3B وEM OV CS CA – G3C، صادرتين تحت emSign Root CS CA – G3.

كثيراً ما دفعت حوادث اختراق سلطات الشهادات مطوري المتصفحات إلى إبطال الثقة بشهادات رقمية. ففي 2011، أدى اختراق سلطة الشهادات الهولندية DigiNotar إلى إصدار عدد كبير من الشهادات الرقمية المزيفة. وفي 2017، اعترضت Google وMozilla وجهات أخرى على الإصدار الخاطئ المزمن للشهادات من Symantec، ما أدى في النهاية إلى بيع أعمال سلطة الشهادات لدى Symantec إلى DigiCert.

المصدر: Dark Reading