Компрометирането на осем ключа за подписване на индийския сертифициращ орган eMudhra разкри пропуск между защитите на браузърите и софтуера, който работи зад уебсайтовете и инструментите за търговия. Към 21 октомври основните производители на браузъри бяха блокирали засегнатите сертификати, но някои програми извън браузърите все още можеха да приемат подправени удостоверения, тъй като не проверяват дали сертификатите са били отменени.
Основни изводи
- Изследователи възстановиха осем слаби частни ключа, които можели да се използват за подписване на сертификати, представящи се за доверени уебсайтове.
- Производителите на браузъри блокираха засегнатите сертификати, но самото им отмяна не защитава софтуер, който изобщо не проверява статуса им.
- Не бяха съобщени криптоатаки; опасенията се отнасят и до остарял софтуер в по-широкия интернет.
Съдържание
- Какво остава уязвимо след пробива с ключовете на eMudhra
- Кои защити бяха достигнали до потребителите?
- Как слабите ключове подкопаха проверката на уебсайтове
- Защо софтуерът за търговия изисква отделно внимание
- Заключение
Какво остава уязвимо след пробива с ключовете на eMudhra
Важно е да се прави разлика между отмяната на сертификат и гарантирането, че софтуерът отказва да му се доверява. eMudhra отмени засегнатите сертификати, но изследователят по киберсигурност Скот Хелм предупреди, че това не защитава програмите, които не проверяват статуса на отмяна.
Хелм заяви, че при тестовете му curl, Python, Node, Go и Java са приели подправен сертификат за API на Stripe. Това беше демонстрация, че сертификатът може да бъде приет, а не доказателство, че Stripe е бил компрометиран.
Измамнически сертификат може да позволи на прихващащ мрежовия трафик да се представя за доверена услуга и да чете или променя комуникацията. Блокирането в браузърите възпрепятства този начин на атака в защитените браузъри, но не доказва, че всички отделни приложения или системи от задния край са получили равностойна защита.
| Елемент | Подробности |
|---|---|
| Mozilla и Chrome | И двата браузъра блокираха засегнатите сертификати на 17 октомври; блокирането от Mozilla последва доклада с около три часа. |
| Apple | Последва с реакция на 19 октомври. |
| Microsoft | Последва на 20 октомври. |
| Отмяна на сертификати | eMudhra отмени засегнатите сертификати, но тази мярка е от полза само ако софтуерът проверява отмяната. |
| Налични корекции за софтуер извън браузърите | Бяха налични корекции за Go, пакета certifi на Python и webpki-roots на Rust. |
| Node.js | Към 21 октомври все още се очакваше корекция. |
Кои защити бяха достигнали до потребителите?
Реакцията започна, след като на 17 октомври изследовател на име Уейн предупреди производителите на браузъри. Той демонстрира, че контролира всичките осем компрометирани ключа, като ги използва за цифрово подписване на предупреждението си. Наличието на корекции не означаваше, че всяка инсталация е била актуализирана.
Как слабите ключове подкопаха проверката на уебсайтове
Сертифициращите органи предоставят удостоверенията, които браузърите използват, за да проверяват самоличността на уебсайтовете. Затова частните им ключове за подписване имат различна отговорност от обикновената парола за уебсайт: компрометиран ключ за подписване може да се използва за създаване на убедително изглеждащи сертификати за други сайтове.
Хелм заяви, че е възстановил и осемте ключа от публични сертификати за по-малко от секунда. Сред стойностите на частните ключове, които е идентифицирал, са били 4 и 56 — пример за това колко малка съпротива са оказвали ключовете при опит за възстановяване. По думите му те са били изложени от април 2025 г.
Според тълкуването на Хелм на доклад в системата за проследяване на грешки на Mozilla, eMudhra е обвинила за проблема грешка в скрипта си за настройване на ключове.
Защо софтуерът за търговия изисква отделно внимание
За потребителите на криптоактиви рискът не се ограничава до отварянето на борса в браузър. Ботовете за борсова търговия, скриптовете за търговия и системите от задния край на портфейлите може да разчитат на засегнатия софтуер извън браузърите. Теоретично подправен сертификат за API на борса може да позволи на нападател в същата мрежа да прихване или промени трафика на бот.
Не бяха съобщени криптоатаки. Главният технологичен директор на Polygon Labs Мудит Гупта заяви, че уязвимостта е общ проблем на софтуерната сигурност, а не специфичен за криптоактивите, като по-старият или неактуализиран софтуер поражда особено безпокойство. По думите му рискът е по-нисък за потребителите, които поддържат портфейлите, инструментите за търговия и устройствата си актуализирани.
Заключение
Реакцията на браузърите затвори непосредствения път за представяне за друг чрез сертификат, но не реши по-широкия софтуерен проблем. Остатъчният риск зависи от това дали отделните инструменти отхвърлят компрометираните удостоверения — а не просто от това дали издателят ги е отменил.
Прочетете още новини
Отказ от отговорност
Тази статия на FinanceVelix предоставя обща информация, а не персонализиран финансов, инвестиционен, правен или данъчен съвет. Пазарните цени, лихвените проценти и икономическите условия могат да се променят; инвестициите носят риск от загуба. Фактите отразяват наличната към момента на публикуване информация и могат да се променят. Проверявайте самостоятелно важната информация и при необходимост се консултирайте с квалифициран специалист. Споменаването на актив, компания или услуга не представлява препоръка.
