Η Mozilla έλαβε στις 17 Οκτωβρίου αναφορά ότι τα ιδιωτικά κλειδιά οκτώ ενδιάμεσων πιστοποιητικών της ινδικής αρχής πιστοποίησης eMudhra είχαν παραβιαστεί, επειδή ήταν τόσο αδύναμα που μπορούσαν να ανακτηθούν σχεδόν αμέσως. Με αυτά θα μπορούσε κάποιος να εκδώσει πλαστά πιστοποιητικά HTTPS για ξένους ιστότοπους. Ο Firefox μπλόκαρε τα πιστοποιητικά μέσω OneCRL μέσα σε λιγότερο από τρεις ώρες, ενώ κυκλοφόρησαν νέες εκδόσεις και ενημέρωση του NSS που αφαιρεί τη ρίζα. Μέτρα πήραν επίσης η Google και άλλοι κατασκευαστές.

Τι σημαίνει: Το σύστημα HTTPS στηρίζεται στην εμπιστοσύνη προς εκατοντάδες αρχές πιστοποίησης, και αρκεί μία αδυναμία σε μία από αυτές για να απειληθούν όλοι. Εδώ το πρόβλημα δεν ήταν κάποια διάρρηξη αλλά κακή δημιουργία κλειδιών, που τα έκανε εύκολα αναπαραγώγιμα. Οι browsers αντέδρασαν γρήγορα και οι χρήστες με ενημερωμένο Firefox ή Chrome προστατεύονται ήδη. Ο κίνδυνος παραμένει για εφαρμογές και συσκευές που χρησιμοποιούν δικά τους αρχεία εμπιστοσύνης χωρίς έλεγχο ανάκλησης, όπως παλιά συστήματα Linux, ενσωματωμένες συσκευές ή εσωτερικά εργαλεία επιχειρήσεων. Οι διαχειριστές θα πρέπει να ενημερώσουν τα πακέτα πιστοποιητικών και, όπου είναι εφικτό, να αφαιρέσουν την επηρεασμένη ρίζα της eMudhra. Για τις επιχειρήσεις που εκδίδουν πιστοποιητικά μέσω μεταπωλητών, αξίζει να ελέγξουν ποια αρχή βρίσκεται πραγματικά πίσω από αυτά. Το περιστατικό ενισχύει επίσης τη συζήτηση για συντομότερη διάρκεια ζωής πιστοποιητικών και για αυτοματοποιημένη ανανέωση, ώστε ένα πρόβλημα να μπορεί να διορθωθεί χωρίς χειροκίνητη δουλειά. Τέλος, δείχνει γιατί τα δημόσια αρχεία Certificate Transparency είναι κρίσιμα: χάρη σε αυτά, ερευνητές μπορούν να εντοπίζουν τέτοιες αδυναμίες πριν τις εκμεταλλευτούν επιτιθέμενοι.

Διαβάστε το πρωτότυπο στο Mozilla Security Blog

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις