Сериозна грешка на индийска компания при генерирането на криптиращи сертификати от високо ниво накара водещите уеб браузъри да блокират сертификатите, преди хакери да успеят да ги използват за фалшифициране на уебсайтове.
Проблемът засяга междинни сертификати (intermediate certificates), създадени от индийската фирма eMudhra – организация с правомощия да издава сертификати, ползващи се с доверие от Google Chrome, Microsoft Edge, Mozilla Firefox и други браузъри. Издателите на сертификати използват междинни сертификати, за да „подписват“ сертификатите на отделни уебсайтове, гарантирайки на потребителите тяхната легитимност и сигурност. Наскоро обаче eMudhra не е приложила правилните процедури при създаването на осем от своите междинни сертификати, генерирайки шокиращо слаби ключове.
Силата на ключа се измерва в брой битове ентропия, използвани за неговото случайно генериране. Частните ключове обикновено съдържат стотици битове ентропия. Дефектните ключове на eMudhra са съдържали едва между три и осем.
Тъй като компрометирането на криптирането, защитаващо междинните сертификати на eMudhra, е било тривиално лесно, хакери са могли да ги използват за подписване на фалшиви TLS (Transport Layer Security) сертификати, позволяващи им да се представят за големи компании.
„Атакуващ може да създаде подправен сертификат за всеки домейн и да го използва за имитиране на сървъри с цел прихващане или модифициране на трафика“, посочва компанията за интернет инфраструктура Cloudflare в публикация в блога си. „Това е сериозен инцидент със сигурността с последици за целия интернет.“
Прекратяване на доверието към компрометираните сертификати
Водещите уеб браузъри реагираха, като преустановиха доверието си към осемте слаби междинни сертификата. Google и Mozilla публикуваха статии, описващи подробно мерките им в отговор на откритието.
„Потребителите трябва възможно най-скоро да обновят своите браузъри и операционни системи до най-новите версии“, написа Денис Джаксън, член на екипа по криптографско инженерство в Mozilla, на разяснителната страница за инцидента.
Няма доказателства киберпрестъпници да са генерирали измамни уеб сертификати чрез експлоатиране на слабостите в ключовете на eMudhra.
Навийн Кумар, служител в eMudhra, заяви в публикация във форума на Mozilla, че дефектен скрипт е довел до създаването на слабите ключове.
„Имаше човешки грешки в няколко етапа от процеса“, написа Кумар. „В момента проучваме по-задълбочено недостатъци в кода, пропуски в процесите и механизмите за контрол тип „maker/checker“, специфични за този проблем.“