افشای کلیدهای خصوصی شرکت eMudhra. هشدار برای امنیت اینترنت

گوگل، اپل، موزیلا و توسعه دهندگان زبان برنامه نویسی Go گواهینامه های دیجیتال مرتبط با آنها را مسدود کردند تا از جعل هویت وب سایت ها پس از افشای کلیدهای خصوصی متعلق به شرکت هندی eMudhra جلوگیری کنند.

گزارش کردن خدمات امنیت سایبری یک مرحله ایافشای این هشت کلید خصوصی نگرانی هایی را در مورد امنیت ارتباطات اینترنتی ایجاد کرده است. این کلیدها متعلق به گواهی‌های میانی مقامات گواهی دیجیتال (CA) بوده و دسترسی غیرمجاز به آنها می‌تواند اجازه صدور گواهی‌های جعلی و جعل هویت وب‌سایت‌ها و خدمات قانونی را بدهد.

بر اساس این گزارش تاریک خواندنشش تا از کلیدهای در معرض نمایش برای صدور گواهینامه های TLS برای وب سایت ها و دو کلید دیگر برای امضای دیجیتالی کدهای نرم افزار استفاده شدند. پس از اطلاع از این حادثه، شرکت های بزرگ فناوری اقدامات فوری برای جلوگیری از سوء استفاده احتمالی از گواهی های به خطر افتاده انجام دادند.

بیشتر بخوانید: دو حفره امنیتی PHP قبل از انتشار رسمی لو رفت

مسدود کردن گواهی‌های دیجیتال

گوگل، موزیلا و اپل محدودیت های امنیتی جدیدی را از طریق سیستم های ابطال گواهی دیجیتال اختصاصی اعمال کرده اند. این اقدامات مانع از اعتماد مرورگرها و برنامه‌های کاربردی تحت پوشش به گواهی‌های امضا شده با کلیدهای خصوصی در معرض نمایش می‌شود.

با دسترسی به چنین کلیدهایی، مهاجمان می توانند گواهی های دیجیتالی صادر کنند که معتبر به نظر می رسد. این گواهی ها ممکن است برای جعل هویت وب سایت ها، فریب کاربران و رهگیری ارتباطات رمزگذاری شده استفاده شوند.

با این حال، اقدامات حفاظتی جدید به طور خودکار برای همه نرم افزارها اعمال نمی شود. برنامه‌های توسعه‌یافته با زبان برنامه‌نویسی Go باید با نسخه‌های وصله‌شده بازسازی شوند تا رفع‌های امنیتی دریافت کنند.

توسعه دهندگان Go به کاربران توصیه کرده اند که فورا به نسخه های 1.27.3 و 1.26.10 ارتقا دهند. سایر نرم افزارها نیز بسته به نحوه مدیریت اعتماد به گواهی های دیجیتال ممکن است نیاز به به روز رسانی داشته باشند.

گوگل اعلام کرده است که مکانیسم شفافیت گواهی مرورگر کروم به طور پیش‌فرض از اعتماد آن به گواهی‌های در معرض خطر TLS حتی قبل از اجرای محدودیت‌های جدید جلوگیری می‌کند.

موزیلا همچنین تایید کرده است که کاربران دارای تنظیمات استاندارد فایرفاکس بدون نیاز به رفرش یا راه اندازی مجدد مرورگر تحت این محدودیت ها قرار می گیرند.

eMudhra در هند فعالیت می کند و خدماتی مانند صدور گواهی دیجیتال، احراز هویت اینترنتی، امضای الکترونیکی و زیرساخت کلید عمومی (PKI) را ارائه می دهد.

بیشتر بخوانید: کاهش طول عمر گواهی های امنیتی TLS به 64 روز

نحوه شناسایی کلیدهای خصوصی eMudhra در معرض

جزئیات دقیق زمان و چگونگی فاش شدن کلیدهای خصوصی eMudhra همچنان نامشخص است. شواهد قطعی در مورد استفاده مهاجمان از این کلیدها برای صدور گواهینامه های جعلی هنوز منتشر نشده است.

دنیس جکسون، یکی از اعضای تیم مهندسی رمزنگاری موزیلا، اعلام کرد که این شرکت برای اولین بار در 17 اکتبر از طریق یک محقق امنیتی به نام “وین” از این حادثه مطلع شد. محقق برای اثبات دسترسی خود به هشت کلید خصوصی، با استفاده از هر کلید یک امضای دیجیتالی برای همان پیام متنی ایجاد کرد. در متن پیام آمده بود: “ما اینجا مشکل داریم – وین.”

این آزمایش نشان داد که محقق به کلیدهای خصوصی مرتبط با هر هشت مرجع صدور گواهینامه میانی دسترسی دارد.

موزیلا حدود سه ساعت پس از دریافت گزارش، روند مسدود کردن گواهی‌های آسیب‌دیده را تکمیل کرد. این شرکت از سیستم OneCRL استفاده کرد که در سال 2015 برای توزیع متمرکز اطلاعات ابطال گواهی معرفی شد.

جکسون توضیح داد که موزیلا، مایکروسافت، اپل و کروم با استفاده از ابزارهایی مانند OneCRL، CRLite و CRLSets اقدامات حفاظتی لازم را برای کاربران خود انجام داده اند.

با این حال، بسیاری از برنامه ها اطلاعات ابطال گواهی را به صورت خودکار دریافت نمی کنند. چنین نرم‌افزاری به یک به‌روزرسانی امنیتی برای جلوگیری از اعتماد به گواهی‌های میانی در معرض خطر نیاز دارد.

موزیلا اکنون با eMudhra و سایر نهادهای مسئول زیرساخت اعتماد دیجیتال برای تعیین علت اصلی این حادثه کار می کند. جکسون تاکید کرده است که تاکنون هیچ مدرکی دال بر به خطر افتادن سایر مقامات صادرکننده گواهی دیجیتال پیدا نشده است.

گوگل نیز تقریباً همزمان با موزیلا از این اتفاق مطلع شد و در کمتر از دو ساعت اقدامات حفاظتی را انجام داد. تیم کروم پس از بررسی سایر گواهی‌ها در مخزن اصلی خود، مورد مشابه دیگری را شناسایی نکرد.

فهرست گواهی‌های در معرض خطر و سابقه تهدیدات مشابه

بر اساس اطلاعات منتشر شده، شش گواهینامه TLS تحت تاثیر قرار گرفته متعلق به زیرمجموعه اعتبار ریشه emSign Root TLS CA-G3 هستند. این گواهی ها عبارتند از:

• EM DV TLS CA – G3B
• EM DV TLS CA – G3C
• EM OV TLS CA – G3B
• EM OV TLS CA – G3C
• EM EV TLS CA – G3B
• EM EV TLS CA – G3C

دو گواهی دیگر نیز برای امضای کد نرم افزار استفاده می شود و زیرمجموعه ای از emSign Root CS CA – G3 هستند:

• EM OV CS CA – G3B
• EM OV CS CA – G3C

همچنین، Google با توسعه دهندگان سیستم‌های ثبت شفافیت گواهی همکاری می‌کند تا از پذیرش گواهی‌های مربوط به مقامات میانی در معرض خطر جلوگیری کند.

حوادث مشابه در گذشته نیز زیرساخت اعتماد اینترنت را تحت تاثیر قرار داده است. در سال 2011، مهاجمان به شرکت هلندی DigiNotar نفوذ کردند و توانستند ده ها گواهی دیجیتال جعلی صادر کنند.

در سال 2017، گوگل و موزیلا اقداماتی را برای لغو اعتماد به گواهینامه های سیمانتک به دلیل مشکلات مکرر در صدور گواهینامه های دیجیتال انجام دادند. سیمانتک سرانجام کسب و کار گواهی دیجیتال خود را به DigiCert فروخت.

گوگل همچنین در سال 2025 اعلام کرد که دیگر به گواهی‌های Chungwa و Netlock به دلیل نگرانی در مورد اعتبار فرآیندهای عملیاتی آنها اعتماد نخواهد کرد.

حادثه اخیر eMudhra اهمیت حفاظت از کلیدهای خصوصی و به روز رسانی مداوم نرم افزار را برجسته می کند. کارشناسان امنیتی توصیه می کنند که کاربران مرورگرها و سیستم عامل های خود را به آخرین نسخه ارتقا دهند تا خطر سوء استفاده احتمالی را کاهش دهند.

بیشتر بخوانید: هشدار مایکروسافت در مورد سوء استفاده از آسیب پذیری زیمبرا