eMudhra-ს პირადი გასაღებები გატეხეს, ერთ-ერთი მათგანი რიცხვი 4 იყო

ინდოეთში დაფუძნებული სერტიფიცირების ორგანო eMudhra მეტისმეტად მარტივ პირად გასაღებებს იყენებდა. გასაღებები გატეხეს, რის გამოც მის მიერ გაცემული 60 მილიონზე მეტი სერტიფიკატი სანდო აღარ არის და მასშტაბური გაწმენდითი სამუშაოებია საჭირო.

eMudhra აცხადებს, რომ ციფრული ნდობის დამკვიდრების ხელშესაწყობად 60 მილიონზე მეტი ციფრული სერტიფიკატი გასცა.

კომპანიის შეცდომების შესახებ ინფორმაცია სამშაბათს Mozilla-ს კრიპტოგრაფიული ინჟინერიის გუნდის წევრმა დენის ჯექსონმა (Dennis Jackson) გამოაქვეყნა.

ჯექსონმა დაწერა: „შაბათს, 17 ოქტომბერს, უნივერსალური კოორდინირებული დროით 20:06 საათზე, Mozilla-მ საზოგადოების წევრისგან მიიღო ცნობა, რომ eMudhra-ს რვა შუალედურ სერტიფიკატთან დაკავშირებული პირადი გასაღებები გატეხილი იყო. ამ გასაღებებით თავდამსხმელებს შეუძლიათ იმ ვებსაიტებისთვის ყალბი HTTPS სერტიფიკატების გაცემა, რომლებსაც არ აკონტროლებენ“.

Cloudflare-მა (Cloudflare) საფრთხე ასე განმარტა: „თავდამსხმელს ნებისმიერი დომენისთვის ყალბი სერტიფიკატის შექმნა და სერვერად თავის გასაღება შეუძლია, რათა მონაცემთა ნაკადი ხელში ჩაიგდოს ან შეცვალოს“.

ჯექსონმა მოგვიანებით ინციდენტისა და საპასუხო ზომების შესახებ დამატებითი ინფორმაცია გაავრცელა. Mozilla-მ, Chrome-მა და Apple-მა პრობლემა მოაგვარეს, რათა მათი ბრაუზერები ამ სერტიფიკატებს აღარ დაეყრდნონ, სულ მცირე, მომხმარებლების მიერ განახლების დაყენების შემდეგ. ჯექსონის ცნობით, eMudhra-მ სერტიფიკატები გააუქმა. მან ასევე ჩამოთვალა მრავალი თავისუფალი და ღია კოდის პროექტი, რომლებმაც განახლებები გამოუშვეს და eMudhra-ს სერტიფიკატებს აღარ აღიარებენ.

ეს დადებითი ნაბიჯია, თუმცა ამ პირადი გასაღებებით ხელმოწერილი სერტიფიკატები კვლავ გამოიყენება და მათ მრავალი სერვისი ეყრდნობა. ბრაუზერების მწარმოებლებს გაუმართავი სერტიფიკატების აღმოჩენა და უარყოფა შეუძლიათ. სხვა სერვისებს ეს შესაძლებლობა შესაძლოა არ ჰქონდეთ. მათ, სავარაუდოდ, საკუთარი გარემოს შემოწმება მოუწევთ, რათა დაადგინონ, ეყრდნობიან თუ არა eMudhra-ს მიერ ხელმოწერილ სერტიფიკატებს. პროგრამისტმა ჯეფრი ჰანტლიმ (Geoffrey Huntley) ამ პროცესის ავტომატიზაციის შესახებ რამდენიმე რჩევა გაავრცელა.

სტატიის მომზადების დროისთვის eMudhra-ს The Register-ის კითხვებისთვის არ უპასუხია. გამოცემა ინციდენტითა და კომპანიის უსაფრთხოების პრაქტიკით დაინტერესდა.

უსაფრთხოების პრაქტიკის საკითხი განსაკუთრებით მნიშვნელოვანია. კიბერუსაფრთხოების მკვლევარმა სკოტ ჰელმმა (Scott Helme) eMudhra-ს სერტიფიკატები გააანალიზა და დაადგინა, რომ კომპანიის მიერ გამოყენებული ერთ-ერთი პირადი გასაღები „რიცხვი 4-ია“.