كشف اختراق ثمانية مفاتيح توقيع لدى هيئة إصدار الشهادات الهندية eMudhra عن فجوة بين وسائل الحماية في المتصفحات والبرامج التي تعمل خلف مواقع الويب وأدوات التداول. وحتى الحادي والعشرين من أكتوبر، كانت كبرى شركات المتصفحات قد حظرت الشهادات المتأثرة، لكن بعض البرامج غير التابعة للمتصفحات قد تظل تقبل بيانات اعتماد مزورة لأنها لا تتحقق مما إذا كانت الشهادات قد أُبطلت.
أبرز النقاط
- استعاد باحثون ثمانية مفاتيح خاصة ضعيفة يمكن استخدامها لتوقيع شهادات تنتحل هوية مواقع ويب موثوقة.
- حظرت شركات المتصفحات الشهادات المتأثرة، لكن الإبطال وحده لا يحمي البرامج التي لا تتحقق منه مطلقًا.
- لم يُبلّغ عن أي هجمات على العملات المشفرة؛ ويمتد القلق إلى البرامج القديمة عبر الإنترنت الأوسع نطاقًا.
جدول المحتويات
- مواضع استمرار التعرض للخطر بعد اختراق مفاتيح eMudhra
- ما وسائل الحماية التي وصلت إلى المستخدمين؟
- كيف قوّضت المفاتيح الضعيفة التحقق من مواقع الويب
- لماذا تحتاج برامج التداول إلى اهتمام منفصل
- الخلاصة
مواضع استمرار التعرض للخطر بعد اختراق مفاتيح eMudhra
يكمن الفرق المهم بين إلغاء الشهادة وضمان رفض البرامج الوثوق بها. أبطلت eMudhra الشهادات المتأثرة، لكن الباحث الأمني سكوت هيلمي حذّر من أن هذه الخطوة لا توفر أي حماية للبرامج التي لا تتحقق من حالة الإبطال.
قال هيلمي إن اختباراته أظهرت أن curl وPython وNode وGo وJava قبلت شهادة مزورة لواجهة Stripe البرمجية. وكان ذلك عرضًا توضيحيًا لقبول الشهادة، لا دليلًا على تعرض Stripe للاختراق.
يمكن لشهادة احتيالية أن تتيح لمتطفل على الشبكة انتحال هوية خدمة موثوقة وقراءة حركة المرور أو تعديلها. وتعالج عمليات الحظر في المتصفحات هذا المسار بالنسبة إلى المتصفحات المحمية، لكنها لا تثبت أن كل تطبيق منفصل أو نظام خلفي قد تلقى حماية مكافئة.
| البند | التفاصيل |
|---|---|
| Mozilla وChrome | حظر كلاهما الشهادات المتأثرة في السابع عشر من أكتوبر؛ وجاء حظر Mozilla بعد نحو ثلاث ساعات من الإبلاغ. |
| Apple | أعقبت ذلك باستجابتها في التاسع عشر من أكتوبر. |
| Microsoft | أعقبت ذلك في العشرين من أكتوبر. |
| إبطال الشهادات | أبطلت eMudhra الشهادات المتأثرة، لكن لا بد للبرامج من التحقق من الإبطال كي يكون لهذا الإجراء أثر. |
| الإصلاحات المتاحة للبرامج غير التابعة للمتصفحات | كانت الإصلاحات متاحة لـGo وحزمة certifi في Python وwebpki-roots في Rust. |
| Node.js | ظل الإصلاح قيد الانتظار حتى الحادي والعشرين من أكتوبر. |
ما وسائل الحماية التي وصلت إلى المستخدمين؟
بدأت الاستجابة بعد أن نبّه باحث يُدعى وين إلى شركات المتصفحات في السابع عشر من أكتوبر. وأثبت سيطرته على المفاتيح الثمانية المخترقة باستخدامها لتوقيع تحذيره رقميًا. لكن توفر الإصلاحات لا يثبت أن كل نسخة مثبتة قد جرى تحديثها.
كيف قوّضت المفاتيح الضعيفة التحقق من مواقع الويب
توفّر هيئات إصدار الشهادات بيانات الاعتماد التي تستخدمها المتصفحات للتحقق من هويات مواقع الويب. ولذلك تتحمل مفاتيح التوقيع الخاصة بها مسؤولية تختلف عن مسؤولية كلمة مرور موقع ويب عادية: إذ يمكن استخدام مفتاح توقيع مخترق لإصدار شهادات تبدو أصلية لمواقع أخرى.
قال هيلمي إنه استعاد المفاتيح الثمانية كلها من شهادات عامة في أقل من ثانية. ومن بين قيم المفاتيح الخاصة التي حدّدها 4 و56، ما يوضح مدى ضآلة المقاومة التي أبدتها المفاتيح أمام استعادتها. وقال إنها ظلت مكشوفة منذ أبريل 2025.
وبحسب قراءة هيلمي لتذكرة خلل لدى Mozilla، عزت eMudhra المشكلة إلى خطأ في البرنامج النصي لإعداد المفاتيح.
لماذا تحتاج برامج التداول إلى اهتمام منفصل
بالنسبة إلى مستخدمي العملات المشفرة، لا يقتصر التعرض للخطر على فتح منصة تداول في متصفح. فقد تعتمد روبوتات منصات التداول ونصوص التداول البرمجية والأنظمة الخلفية للمحافظ على البرامج غير التابعة للمتصفحات المتأثرة. ومن الناحية النظرية، قد تتيح شهادة مزورة لواجهة برمجية خاصة بمنصة تداول لمهاجم موجود على الشبكة نفسها اعتراض حركة مرور الروبوت أو تغييرها.
لم يُبلّغ عن أي هجمات على العملات المشفرة. وقال موديت غوبتا، الرئيس التنفيذي للتكنولوجيا في Polygon Labs، إن الثغرة مشكلة عامة في أمن البرامج وليست خاصة بالعملات المشفرة، وإن البرامج الأقدم أو غير المصححة تثير قلقًا خاصًا. وأضاف أن المستخدمين الذين يُبقون محافظهم وأدوات التداول وأجهزتهم محدّثة يواجهون مخاطر أقل.
الخلاصة
أغلقت استجابة المتصفحات مسارًا فوريًا لانتحال الشهادات، لكنها لم تحسم مشكلة البرامج الأوسع نطاقًا. ويتوقف التعرض المتبقي للخطر على ما إذا كانت الأدوات الفردية ترفض بيانات الاعتماد المخترقة، لا على مجرد إبطال الجهة المُصدرة لها.
اقرأ المزيد من الأخبار
إخلاء المسؤولية
تقدم هذه المقالة من FinanceVelix معلومات عامة، ولا تشكل نصيحة مالية أو استثمارية أو قانونية أو ضريبية مخصصة. قد تتغير أسعار السوق وأسعار الفائدة والظروف الاقتصادية؛ وتنطوي الاستثمارات على مخاطر الخسارة. وتعكس الحقائق المواد المتاحة وقت النشر وقد تتغير. تحقّق بصورة مستقلة من المعلومات المهمة واستشر مختصًا مؤهلًا عند الحاجة. ولا يُعد ذكر أي أصل أو شركة أو خدمة تأييدًا لها.
