Τα eMudhra πιστοποιητικά SSL βρέθηκαν στο επίκεντρο μιας σοβαρής υπόθεσης εμπιστοσύνης στο διαδίκτυο, αφού τα ιδιωτικά κλειδιά οκτώ ενδιάμεσων πιστοποιητικών της ινδικής εταιρείας αποδείχθηκαν αδύναμα. Οι Firefox, Apple και Chrome μπλόκαραν τα πιστοποιητικά, και η eMudhra ανακοίνωσε ότι αποσύρεται οικειοθελώς από την παγκόσμια αγορά πιστοποιητικών SSL/TLS.
EMudhra πιστοποιητικά SSL: τι ακριβώς πήγε στραβά με τα κλειδιά
Η eMudhra είναι μία από τις ελάχιστες ινδικές ρίζες αρχών πιστοποίησης (certificate authorities) που εμπιστεύονται οι μεγάλοι browsers. Το πρόβλημα έγινε γνωστό όταν ο ερευνητής κυβερνοασφάλειας Scott Helme δημοσίευσε σχετική ανάλυση. Όπως ανέφερε, αντί για έναν τυχαίο αριθμό 384 bit, ένα από τα ιδιωτικά κλειδιά ήταν απλώς ο αριθμός τέσσερα. Άλλα κλειδιά ήταν ο αριθμός 56 και ο αριθμός 115.
Σύμφωνα με την εταιρεία, τα πιστοποιητικά δημιουργήθηκαν σε τελετή δημιουργίας κλειδιών τον Απρίλιο του 2025 και το πρόβλημα οφειλόταν σε σφάλμα σε ένα βήμα της διαδικασίας. Το ζήτημα έμεινε απαρατήρητο για 18 μήνες και πέρασε από δύο ανεξάρτητους ελέγχους (audits), μέχρι που ένας ερευνητής ανέλυσε αντίστροφα τα αδύναμα κλειδιά.
Γιατί τα αδύναμα ιδιωτικά κλειδιά είναι επικίνδυνα
Όταν ένα ιδιωτικό κλειδί μιας αρχής πιστοποίησης μπορεί να μαντευτεί, ο καθένας μπορεί να εκδώσει πλαστό πιστοποιητικό HTTPS για οποιονδήποτε ιστότοπο. Όπως εξήγησαν Google και Mozilla, ένας επιτιθέμενος που μπορεί να παρεμβληθεί στη σύνδεση ενός χρήστη θα μπορούσε να υποδυθεί έναν ιστότοπο και ενδεχομένως να διαβάσει ή να τροποποιήσει την κίνηση. Η Cloudflare σημείωσε ότι τα πιστοποιητικά είχαν ευρεία εμπιστοσύνη τόσο στα δικά της συστήματα όσο και σε browsers και λειτουργικά συστήματα.
Η ινδική CERT-IN προειδοποίησε ότι η εκμετάλλευση των κλειδιών θα μπορούσε να διευκολύνει κλοπή διαπιστευτηρίων, έκθεση ευαίσθητων δεδομένων και οικονομική απάτη. Πρόσθεσε ότι η δυνατότητα έκδοσης πλαστών πιστοποιητικών θα επέτρεπε σε κακόβουλο λογισμικό να φαίνεται ψηφιακά υπογεγραμμένο από αξιόπιστο εκδότη.
Η αντίδραση της εταιρείας και των αρχών
Ο πρόεδρος της eMudhra, V. Srinivasan, δήλωσε ότι τα επηρεασμένα πιστοποιητικά ανακλήθηκαν μέσα σε 14 ώρες από την ανακάλυψη και ότι δεν σημειώθηκαν παραβιάσεις ή διαρροές δεδομένων. Η δραστηριότητα στα πιστοποιητικά SSL/TLS αντιστοιχούσε μόλις στο 1% των εσόδων, αλλά είχε γίνει δαπανηρή λόγω απαιτήσεων συμμόρφωσης και «πολυπλοκότητας». Ο ίδιος απέδωσε τον αυξημένο έλεγχο στην «ενίσχυση από τα social media».
Το ινδικό υπουργείο Ηλεκτρονικών και Πληροφορικής ανακοίνωσε ότι διερευνά το περιστατικό, υποστηρίζοντας ωστόσο ότι ορισμένοι λογαριασμοί στα social media καλλιεργούν φόβο. Η Google δήλωσε ότι εξετάζει στενά τη διατήρηση των υπόλοιπων πιστοποιητικών της eMudhra στο Chrome Root Store.
Τι διδάσκει το περιστατικό
Ο Brian Fox, συνιδρυτής της Sonatype, επισήμανε ότι το ζήτημα ξεπερνά τους browsers, επειδή οι λίστες εμπιστοσύνης πιστοποιητικών είναι ενσωματωμένες σε δεκάδες προϊόντα, καθένα από τα οποία μπορεί να χρειάζεται δική του ενημέρωση ή νέα έκδοση. Κατά τον ίδιο, πρόκειται για πρόβλημα εφοδιαστικής αλυσίδας λογισμικού και όχι απλώς για ανάκληση πιστοποιητικών, και οι περισσότεροι οργανισμοί δεν έχουν απογραφή του πού βρίσκονται αυτές οι λίστες.
Τα ενδιάμεσα πιστοποιητικά δεν επρόκειτο να λήξουν πριν τον Απρίλιο του 2040. Έτσι, παλαιότερα προγράμματα-πελάτες που δεν ελέγχουν πληροφορίες ανάκλησης μπορεί να συνεχίσουν να εμπιστεύονται τις επηρεασμένες αλυσίδες μέχρι να ενημερωθούν. Το δίδαγμα είναι διπλό: ακόμη και δύο ανεξάρτητοι έλεγχοι δεν εγγυώνται ότι μια κρίσιμη διαδικασία είναι σωστή, και η εμπιστοσύνη στο διαδίκτυο στηρίζεται σε στοιχεία που σπάνια παρακολουθούμε.
Τι πρέπει να κάνετε
- Ενημερώστε άμεσα browsers, λειτουργικά συστήματα και εργαλεία που διαθέτουν δική τους λίστα πιστοποιητικών.
- Ελέγξτε αν οι ιστότοποι και οι υπηρεσίες σας χρησιμοποιούν πιστοποιητικά που εκδόθηκαν από την eMudhra και προγραμματίστε τη μετάβαση σε άλλη αρχή πιστοποίησης.
- Καταγράψτε πού υπάρχουν ενσωματωμένα certificate bundles: παλιά containers, embedded συσκευές και εργαλεία προμηθευτών.
- Αναβαθμίστε ή αντικαταστήστε παλαιότερα συστήματα που δεν ελέγχουν την κατάσταση ανάκλησης πιστοποιητικών.
- Παρακολουθείτε τις ανακοινώσεις των browser root programs και της eMudhra, που έχει δεσμευτεί για πλήρη αναφορά βασικής αιτίας.