Η παραβίαση κλειδιών της eMudhra αποκαλύπτει κενά πέρα από τις διορθώσεις των προγραμμάτων περιήγησης

Οκτώ παραβιασμένα κλειδιά υπογραφής της ινδικής αρχής πιστοποίησης eMudhra αποκάλυψαν ένα κενό ανάμεσα στις προστασίες των προγραμμάτων περιήγησης και στο λογισμικό που λειτουργεί στο παρασκήνιο ιστοτόπων και εργαλείων συναλλαγών. Στις 21 Οκτωβρίου, οι μεγαλύτεροι κατασκευαστές προγραμμάτων περιήγησης είχαν αποκλείσει τα επηρεαζόμενα πιστοποιητικά, όμως ορισμένα προγράμματα που δεν είναι προγράμματα περιήγησης μπορούσαν ακόμη να αποδέχονται πλαστά διαπιστευτήρια, επειδή δεν ελέγχουν αν τα πιστοποιητικά έχουν ανακληθεί.

Βασικά σημεία

• Ερευνητές ανέκτησαν οκτώ αδύναμα ιδιωτικά κλειδιά, τα οποία μπορούσαν να χρησιμοποιηθούν για την υπογραφή πιστοποιητικών που παρίσταναν ότι ανήκουν σε έμπιστους ιστοτόπους.
• Οι κατασκευαστές προγραμμάτων περιήγησης απέκλεισαν τα επηρεαζόμενα πιστοποιητικά, αλλά η ανάκληση από μόνη της δεν προστατεύει λογισμικό που δεν την ελέγχει ποτέ.
• Δεν είχαν αναφερθεί επιθέσεις σε κρυπτονομίσματα· η ανησυχία αφορά παρωχημένο λογισμικό σε ολόκληρο το ευρύτερο διαδίκτυο.

Πίνακας περιεχομένων

• Πού παραμένει η έκθεση μετά την παραβίαση κλειδιών της eMudhra
• Ποιες προστασίες είχαν φτάσει στους χρήστες;
• Πώς τα αδύναμα κλειδιά υπονόμευσαν την επαλήθευση ιστοτόπων
• Γιατί το λογισμικό συναλλαγών χρειάζεται ξεχωριστή προσοχή
• Συμπέρασμα

Πού παραμένει η έκθεση μετά την παραβίαση κλειδιών της eMudhra

Η σημαντική διάκριση είναι ανάμεσα στην ανάκληση ενός πιστοποιητικού και στη διασφάλιση ότι το λογισμικό αρνείται να το εμπιστευτεί. Η eMudhra ανακάλεσε τα επηρεαζόμενα πιστοποιητικά, αλλά ο ερευνητής ασφάλειας Scott Helme προειδοποίησε ότι αυτή η ενέργεια δεν προσφέρει προστασία σε προγράμματα που δεν ελέγχουν την κατάσταση ανάκλησης.

Ο Helme ανέφερε ότι οι δοκιμές του έδειξαν πως τα curl, Python, Node, Go και Java αποδέχθηκαν ένα πλαστό πιστοποιητικό για το API της Stripe. Αυτό ήταν μια επίδειξη αποδοχής πιστοποιητικού και όχι απόδειξη ότι η Stripe είχε παραβιαστεί.

Ένα δόλιο πιστοποιητικό μπορεί να επιτρέψει σε κάποιον που παρεμβάλλεται στο δίκτυο να παρουσιαστεί ως έμπιστη υπηρεσία και να διαβάσει ή να τροποποιήσει την κίνηση δεδομένων. Οι αποκλεισμοί στα προγράμματα περιήγησης αντιμετωπίζουν αυτή τη δυνατότητα στα προστατευμένα προγράμματα περιήγησης· δεν αποδεικνύουν ότι κάθε ξεχωριστή εφαρμογή ή σύστημα υποστήριξης έχει λάβει ισοδύναμη προστασία.

Ποιες προστασίες είχαν φτάσει στους χρήστες;

Η αντίδραση ξεκίνησε αφού ένας ερευνητής με το όνομα Wayne ειδοποίησε τους κατασκευαστές προγραμμάτων περιήγησης στις 17 Οκτωβρίου. Έδειξε ότι είχε τον έλεγχο και των οκτώ παραβιασμένων κλειδιών, χρησιμοποιώντας τα για να υπογράψει ψηφιακά την προειδοποίησή του. Η διαθεσιμότητα διορθώσεων δεν αποδεικνύει ότι κάθε εγκατάσταση είχε ενημερωθεί.

Πώς τα αδύναμα κλειδιά υπονόμευσαν την επαλήθευση ιστοτόπων

Οι αρχές πιστοποίησης παρέχουν τα διαπιστευτήρια που χρησιμοποιούν τα προγράμματα περιήγησης για να επαληθεύουν την ταυτότητα των ιστοτόπων. Επομένως, τα ιδιωτικά κλειδιά υπογραφής τους έχουν διαφορετική ευθύνη από έναν συνηθισμένο κωδικό πρόσβασης ιστοτόπου: ένα παραβιασμένο κλειδί υπογραφής μπορεί να χρησιμοποιηθεί για την έκδοση πιστοποιητικών που φαίνονται αυθεντικά για άλλους ιστοτόπους.

Ο Helme ανέφερε ότι ανέκτησε και τα οκτώ κλειδιά από δημόσια πιστοποιητικά σε λιγότερο από ένα δευτερόλεπτο. Μεταξύ των τιμών ιδιωτικών κλειδιών που εντόπισε ήταν οι 4 και 56, γεγονός που δείχνει πόσο μικρή αντίσταση στην ανάκτηση προσέφεραν τα κλειδιά. Είπε ότι ήταν εκτεθειμένα από τον Απρίλιο του 2025.

Σύμφωνα με την ανάγνωση από τον Helme ενός δελτίου σφάλματος της Mozilla, η eMudhra απέδωσε το πρόβλημα σε σφάλμα στο σενάριο ρύθμισης κλειδιών της.

Γιατί το λογισμικό συναλλαγών χρειάζεται ξεχωριστή προσοχή

Για τους χρήστες κρυπτονομισμάτων, η σχετική έκθεση δεν περιορίζεται στο άνοιγμα ενός ανταλλακτηρίου σε πρόγραμμα περιήγησης. Τα bot ανταλλακτηρίων, τα σενάρια συναλλαγών και τα συστήματα υποστήριξης πορτοφολιών μπορεί να βασίζονται στο επηρεαζόμενο λογισμικό εκτός προγραμμάτων περιήγησης. Θεωρητικά, ένα πλαστό πιστοποιητικό API ανταλλακτηρίου θα μπορούσε να επιτρέψει σε έναν εισβολέα στο ίδιο δίκτυο να υποκλέψει ή να τροποποιήσει την κίνηση δεδομένων ενός bot.

Δεν είχαν αναφερθεί επιθέσεις σε κρυπτονομίσματα. Ο Mudit Gupta, επικεφαλής τεχνολογίας της Polygon Labs, δήλωσε ότι η ευπάθεια αποτελούσε γενικό ζήτημα ασφάλειας λογισμικού και όχι ειδικά ζήτημα κρυπτονομισμάτων, ενώ ιδιαίτερη ανησυχία προκαλούσε το παλαιότερο ή μη ενημερωμένο λογισμικό. Είπε ότι οι χρήστες που διατηρούσαν ενημερωμένα τα πορτοφόλια, τα εργαλεία συναλλαγών και τις συσκευές τους αντιμετώπιζαν χαμηλότερο κίνδυνο.

Συμπέρασμα

Η αντίδραση των προγραμμάτων περιήγησης έκλεισε μια άμεση οδό για την πλαστοπροσωπία μέσω πιστοποιητικών, αλλά δεν έλυσε το ευρύτερο πρόβλημα λογισμικού. Η έκθεση που απομένει εξαρτάται από το αν τα επιμέρους εργαλεία απορρίπτουν τα παραβιασμένα διαπιστευτήρια — όχι απλώς από το αν ο εκδότης τα έχει ανακαλέσει.

Διαβάστε περισσότερες ειδήσεις

Περισσότερες ειδήσεις από το FinanceVelix

Αποποίηση ευθύνης

Το παρόν άρθρο του FinanceVelix παρέχει γενικές πληροφορίες και όχι εξατομικευμένες χρηματοοικονομικές, επενδυτικές, νομικές ή φορολογικές συμβουλές. Οι τιμές της αγοράς, τα επιτόκια και οι οικονομικές συνθήκες μπορούν να μεταβληθούν· οι επενδύσεις ενέχουν κίνδυνο ζημίας. Τα στοιχεία αντανακλούν το υλικό που ήταν διαθέσιμο κατά τη δημοσίευση και ενδέχεται να αλλάξουν. Επαληθεύστε ανεξάρτητα τις σημαντικές πληροφορίες και συμβουλευτείτε εξειδικευμένο επαγγελματία όταν χρειάζεται. Η αναφορά σε περιουσιακό στοιχείο, εταιρεία ή υπηρεσία δεν συνιστά σύσταση.»