به گزارش شبکه اطلاع‌رسانی طلا و ارز، شرکت‌های بزرگ فناوری ۸ گواهی دیجیتال آسیب‌پذیر را مسدود کردند. دلیل این اقدام، ضعف شدید در روش تولید کلیدهای خصوصی این گواهی‌ها بود. بر اساس اطلاعات منتشرشده، این نقص امکان جعل هر وب‌سایتی را فراهم می‌کرد.
گواهی دیجیتال مانند کارت شناسایی یک وب‌سایت عمل می‌کند. مرورگر با بررسی آن، مطمئن می‌شود صفحه‌ای که کاربر می‌بیند واقعاً به همان بانک، صرافی یا فروشگاه تعلق دارد. نشانه ظاهری این اعتماد، همان قفل کوچک کنار نشانی سایت است.
کلید خصوصی چرا اهمیت دارد؟
هر گواهی به یک کلید خصوصی وابسته است. این کلید، شبیه امضای منحصربه‌فرد صاحب سایت است و باید غیرقابل حدس باشد. وقتی روش ساخت کلید ضعیف باشد، مهاجم می‌تواند آن را بازسازی کند و خود را جای سایت اصلی جا بزند.
پیامد این وضعیت برای کاربران عادی روشن است. صفحه جعلی می‌توانست با قفل امنیتی معتبر نمایش داده شود و رمز عبور، شماره کارت یا اطلاعات حساب را از قربانی بگیرد. در چنین حالتی، علامت اعتماد آشنای مرورگر دیگر تضمین کافی نبود.
اطلاعات موجود نشان نمی‌دهد این ضعف در عمل برای حمله استفاده شده باشد. مسدودسازی نیز یک اقدام پیشگیرانه است: مرورگرها و سامانه‌ها دیگر این ۸ گواهی را معتبر نمی‌شناسند و کاربر در صورت مواجهه با آن‌ها هشدار می‌بیند.
اهمیت موضوع برای خدمات مالی
بانک‌ها، کیف‌پول‌ها، صرافی‌های ارز دیجیتال و درگاه‌های پرداخت برای جلب اعتماد کاربران به همین زیرساخت گواهی تکیه می‌کنند. هر ضعفی در این زنجیره، مستقیماً امنیت حساب‌ها و تراکنش‌های آنلاین را به پرسش می‌کشد. به همین دلیل، واکنش هماهنگ شرکت‌های فناوری برای حفظ اعتماد به شبکه اهمیت دارد.
برای تحلیلگران امنیتی، این رویداد یادآوری می‌کند که کیفیت تولید اعداد تصادفی در رمزنگاری حیاتی است. اگر منبع تصادفی بودن کلید ضعیف باشد، حتی الگوریتم قوی هم محافظت کافی ایجاد نمی‌کند. داده‌های بیش‌تر درباره جزئیات فنی و دامنه آسیب‌پذیری در روزهای آینده روشن‌تر می‌شود.
نظرات کاربران