خلل في شهادات eMudhra يدفع إلى حظرها وإزالة شهادة جذر

دفع خلل في شهادات eMudhra كلاً من Google وMozilla وApple وMicrosoft إلى حظر الشهادات المتأثرة بين 17 و20 أكتوبر 2026، بعدما استعاد باحثون مفاتيح التوقيع الخاصة لثماني شهادات وسيطة. كما أعلنت Google عن إزالة أوسع نطاقاً لشهادة جذر تابعة لـeMudhra، ومن المتوقع إطلاقها على الأجهزة التي تعتمد على مخزن جذور Chrome في 27 أكتوبر.

أبرز النقاط

• كانت المفاتيح الخاصة لثماني شهادات وسيطة سهلة الاستعادة: ست شهادات لأمن المواقع وشهادتان لتوقيع الشيفرات.
• لم تُسجَّل علناً أي شهادات TLS مرتبطة بالشهادات الوسيطة الست المتأثرة قبل حظر Chrome؛ ولا يزال حجم التعرض خارج نطاق تطبيق شفافية الشهادات غير مؤكد.
• قد تؤدي إزالة الجذر المخطط لها في Chrome إلى تعطيل شهادات مشروعة أيضاً، ما يستلزم من مشغّلي المواقع المتأثرة استبدالها.

جدول المحتويات

• كيف قوض خلل شهادات eMudhra الثقة
• ما الذي أثبتته إجراءات الحظر الطارئة وما الذي لم تثبته
• إزالة أوسع لشهادة الجذر تحدد مهلة للاستبدال
• الخلاصة

كيف قوض خلل شهادات eMudhra الثقة

أُنشئت المفاتيح المتأثرة لدى سلطة الشهادات التي تتخذ من الهند مقراً لها في 30 أبريل 2025. وقال مهندس Mozilla، دينيس جاكسون، إن المفاتيح الثمانية جميعها استخدمت أعداداً صحيحة أصغر من 256، ما جعل استعادتها شبه فورية بدلاً من توفير العشوائية المتوقعة من المفاتيح المشفرة الآمنة.

استعادت Mozilla المفاتيح بشكل مستقل في 17 أكتوبر، مؤكدةً نتائج الباحث. وقد يتيح امتلاك مفاتيح توقيع TLS المتأثرة للمهاجم تزوير شهادات تنتحل هوية المواقع أمام العملاء الذين ما زالوا يثقون بتلك السلطات.

وفي روايتها للأسباب الجذرية، عزت eMudhra المشكلة إلى نص برمجي لإنشاء المفاتيح أنتج زوجاً ثانياً أضعف من المفاتيح يحمل تسمية مشابهة. واستُخدم هذا الزوج عن طريق الخطأ في طلب توقيع الشهادة، مع وقوع أخطاء بشرية في مراحل متعددة من العملية.

ما الذي أثبتته إجراءات الحظر الطارئة وما الذي لم تثبته

حظر Chrome المفاتيح العامة المتأثرة عبر آلية CRLSet، ما وفّر الحماية للمستخدمين من دون الحاجة إلى تحديث المتصفح أو إعادة تشغيله. ونشر Firefox حظره عبر OneCRL في اليوم نفسه، فيما ألغت eMudhra الشهادات الثماني لاحقاً.

وقالت Google إن سجلات شفافية الشهادات لم تتضمن أي شهادات TLS مرتبطة بالشهادات الوسيطة الست المتأثرة قبل اتخاذها إجراء الحظر. ولذلك قالت إنه لم يكن بالإمكان استخدام شهادات مزورة صادرة عن تلك السلطات ضد العملاء الذين يفرضون متطلبات التسجيل هذه، بما في ذلك Chrome.

لكن هذه النتيجة لا تثبت ما إذا كانت المفاتيح قد استُخدمت بشكل مسيء في أماكن أخرى. فالبرمجيات غير التابعة للمتصفحات لا تفرض بالضرورة شفافية الشهادات ولا تتلقى تحديثات حظر مكافئة، ما يبقي نطاق أي تعرض سابق غير محسوم.

إزالة أوسع لشهادة الجذر تحدد مهلة للاستبدال

كما تناول إعلان Google عن حماية مستخدمي Chrome وAndroid إزالة شهادة emSign ECC Root CA – G3 من مخزن جذور Chrome. وكان متوقعاً إتاحة الإزالة على نطاق واسع في 27 أكتوبر 2026، مع توفيرها قبل ذلك عبر قنوات الإصدارات التجريبية.

وتكتسب هذه الخطوة الأوسع أهمية لأن بعض الشهادات المشروعة المرتبطة بشهادة الجذر هذه ستتوقف أيضاً عن العمل في Chrome. وقالت Google إن على مشغّلي المواقع المتأثرة الحصول على شهادات TLS بديلة من تسلسل شهادات آخر مدرج في مخزن الجذور لديها وتثبيتها، وإن eMudhra تعهدت بمساعدة المشتركين على الانتقال.

وقالت Google أيضاً إنها تحقق فيما إذا كان ينبغي مواصلة إدراج سلطات الشهادات الأخرى التابعة لـeMudhra في مخزن جذور Chrome. وكانت المراجعة لا تزال جارية، ولم تكن إزالةً مكتملة لجميع سلطات eMudhra.

الخلاصة

عالجت إجراءات الحظر الفورية المفاتيح الضعيفة المعروفة، لكن أعمال المعالجة الأوسع ظلت مستمرة. وكانت المحطة التالية المقررة هي بدء طرح إزالة الجذر في Chrome في 27 أكتوبر، وهو ما قد يؤثر في المواقع المشروعة التي لم تستبدل الشهادات المرتبطة بالجذر المُزال.

اقرأ المزيد من الأخبار

المزيد من أخبار FinanceVelix

إخلاء المسؤولية

يقدم هذا المقال من FinanceVelix معلومات عامة، وليس نصيحة مالية أو استثمارية أو قانونية أو ضريبية مخصصة. قد تتغير أسعار السوق وأسعار الفائدة والظروف الاقتصادية؛ وتنطوي الاستثمارات على مخاطر الخسارة. تعكس الحقائق المعلومات المتاحة عند النشر وقد تتغير. تحقق بشكل مستقل من المعلومات المهمة واستشر مختصاً مؤهلاً عند الحاجة. ولا يُعد ذكر أي أصل أو شركة أو خدمة توصية بها.