غول‌های فناوری هشت گواهی دیجیتال آسیب‌پذیر را به دلیل ضعف شدید در تولید کلیدهای خصوصی مسدود کردند.
غول‌های فناوری و توسعه‌دهندگان مرورگرهای وب اقدامات امنیتی اضطراری را برای مسدود کردن هشت گواهی دیجیتال میانی متعلق به مرکز صدور گواهی eMudhra در هند آغاز کردند. نقص امنیتی مذکور امکان جعل هویت وب‌سایت‌های معتبر و رهگیری داده‌های کاربران را برای مهاجمان فراهم می‌کند.
موزیلا در گزارش فنی خود اعلام کرد کارشناسان امنیتی بلافاصله پس از دریافت گزارش در روز شنبه، موفق به بازیابی مستقل کلیدهای خصوصی شدند. بررسی‌ها نشان داد فرایند تولید کلیدها کاملا معیوب و بهره‌برداری از آن بسیار ساده بوده است. مهاجمان با رهگیری ترافیک کاربران می‌توانند به خواندن یا تغییر اطلاعات ارسالی و دریافتی بپردازند.
دنیس جکسون ، مهندس رمزنگاری موزیلا، گفت: «موضوع در روز ۱۹ اکتبر به‌صورت مسئولانه اعلام شد. بسیاری از نهادها پیش‌تر به‌روزرسانی‌های لازم را منتشر کرده‌اند یا در حال آماده‌سازی آن هستند.»
تیم امنیتی موزیلا در نخستین گام با سازوکار OneCRL دسترسی به هشت گواهی نامعتبر را مسدود کرد و سپس به‌روزرسانی تکمیلی را برای نسخه‌های دسکتاپ و اندروید فایرفاکس در دسترس قرار داد. کلادفلر نیز روز دوشنبه از این رخداد باخبر شد و با ارائه‌ی وصله‌های امنیتی برای نرم‌افزارهای Cloudflare One ،WARP و سرویس تانل اختصاصی خود، خطرات احتمالی را مهار کرد.
گوگل از روز شنبه در کروم، اپل از روز دوشنبه و مایکروسافت از روز سه‌شنبه مسدودسازی این گواهی‌ها را عملیاتی کرده‌اند. بررسی لاگ‌های شفافیت گواهی، شواهدی از سوءاستفاده علیه مرورگرهای مطرح نشان نمی‌دهد؛ اما خطرات متوجه نرم‌افزارهایی خارج از دنیای مرورگرها است که از سازوکارهای نظارتی خودکار پشتیبانی نمی‌کنند.
دنیس جکسون، مهندس رمزنگاری موزیلا، گفت: «بسیاری از نرم‌افزارها و کلاینت‌های خارج از زیست‌بوم مرورگرها از سازوکار شفافیت گواهی تبعیت نمی‌کنند. ما نمی‌دانیم آیا مهاجمان از این نقص تولید کلید برای هدف گرفتن این سامانه‌ها سوءاستفاده کرده‌اند یا خیر.»
اتفاقات اخیر یادآور رسوایی مرکز هلندی DigiNotar در سال ۲۰۱۱ است. در آن رویداد تاریخی هکرها ۵۳۱ گواهی جعلی ایجاد کردند و با شبیه‌سازی سرویس‌های گوگل توانستند از حدود ۳۰۰ هزار حساب جیمیل کاربران ایرانی جاسوسی کنند.
نظرات کاربران