Kahdeksan Intian varmennusviranomaisen eMudhran allekirjoitusavainta on paljastanut aukon selainsuojausten ja verkkosivustojen sekä kaupankäyntityökalujen taustalla toimivan ohjelmiston välillä. Lokakuun 21. päivänä suuret selaimenvalmistajat olivat estäneet kyseiset sertifikaatit, mutta jotkut ei-selainohjelmat pystyivät silti hyväksymään väärennettyjä tunnistetietoja, koska ne eivät tarkista, onko sertifikaatteja peruutettu.
Keskeiset huomiot
- Tutkijat löysivät kahdeksan heikkoa yksityistä avainta, joilla voitiin allekirjoittaa luotettavien verkkosivustojen varmenneita.
- Selaimen valmistajat estivät kyseiset sertifikaatit, mutta pelkkä peruutus ei suojaa ohjelmistoa, joka ei koskaan tarkista niitä.
- Kryptohyökkäyksiä ei ollut raportoitu; huoli ulottuu vanhentuneeseen ohjelmistoon laajemmassa internetissä.
Sisällysluettelo
- Missä eMudhra-näppäimen murtuma jättää paljastumaan
- Mitkä suojaukset olivat saavuttaneet käyttäjät?
- Miten heikot avaimet heikensivät verkkosivuston varmennuksen
- Miksi kaupankäyntiohjelmistot tarvitsevat erillisen huomion
- Yhteenveto
Missä eMudhra-näppäimen murtuma jättää paljastumaan
Tärkeä ero on varmenteen peruuttamisen ja ohjelmiston sen varmistamisen välillä, ettei siihen luotta. eMudhra peruutti kyseiset sertifikaatit, mutta tietoturvatutkija Scott Helme varoitti, ettei tämä toimenpide tarjoa suojaa ohjelmille, jotka eivät tarkista peruutustilaa.
Helme kertoi, että hänen testinsä osoittivat, että Curl, Python, Node, Go ja Java hyväksyivät väärennetyn sertifikaatin Stripen API:lle. Se oli osoitus sertifikaattien hyväksymisestä, ei todiste siitä, että Stripe olisi murrettu.
Petollinen sertifikaatti voi antaa verkon sieppaajalle mahdollisuuden esiintyä luotettavana palveluna ja lukea tai muuttaa liikennettä. Selain estää osoitteen kyseisellä reitillä suojatuilta selaimilta; ne eivät osoita, että jokainen erillinen sovellus tai taustajärjestelmä olisi saanut vastaavan suojan.
| Kohde | Yksityiskohdat |
|---|---|
| Mozilla ja Chrome | Molemmat estivät vaikuttavat sertifikaatit seitsemäntoista lokakuuta; Mozillan blokki seurasi raporttia noin kolme tuntia. |
| Omena | Seurasi vastauksensa 19. lokakuuta. |
| Microsoft | Seurasi 20. lokakuuta. |
| Todistuksen peruuttaminen | eMudhra peruutti kyseiset sertifikaatit, mutta ohjelmiston täytyy tarkistaa peruuttaminen, jotta toimenpide voi auttaa. |
| Ei-selainkorjauksia saatavilla | Korjauksia oli saatavilla Go:lle, Pythonin sertifi-paketille ja Rustin webpki-rootsille. |
| Node.js | Korjaus oli vielä vireillä 21. lokakuuta. |
Mitkä suojaukset olivat saavuttaneet käyttäjät?
Vastaus alkoi sen jälkeen, kun tutkija nimeltä Wayne ilmoitti selaimen valmistajille 17. lokakuuta. Hän osoitti kaikkien kahdeksan vaarantuneen avaimen hallinnan käyttämällä niitä digitaaliseen allekirjoitukseen varoituksensa. Korjausten saatavuus ei osoittanut, että jokainen asennus olisi päivitetty.
Miten heikot avaimet heikensivät verkkosivuston varmennuksen
Varmennusviranomaiset toimittavat selaimet käyttävät tunnistetietoja verkkosivuston identiteettien varmistamiseen. Heidän yksityiset allekirjoitusavaimensa kantavat siksi erilaisen vastuun kuin tavallisilla verkkosivuston salasanoilla: vaarantunut allekirjoitusavain voidaan käyttää aiton näköisten varmenteiden tuottamiseen muille sivustoille.
Helme kertoi palauttaneensa kaikki kahdeksan avainta julkisista todistuksista alle sekunnissa. Yksityisen avaimen arvoista, jotka hän tunnisti, olivat 4 ja 56, mikä osoittaa, kuinka vähän vastustusta avaimet tarjosivat palautukselle. Hän kertoi, että avaimet olivat olleet altistuneita huhtikuusta 2025 lähtien.
Helmen tulkinnan mukaan Mozilla-bugitiketti eMudhra syytti virhettä näppäinasetusskriptissään.
Miksi kaupankäyntiohjelmistot tarvitsevat erillisen huomion
Kryptokäyttäjille relevantti altistus ei rajoitu pörssin avaamiseen selaimessa. Pörssibotit, kaupankäyntiskriptit ja lompakon taustajärjestelmät voivat luottaa kyseiseen ei-selaimen ohjelmistoon. Teoriassa väärennetty pörssin API-sertifikaatti voisi sallia hyökkääjän samassa verkossa sieppauksen tai botin liikenteen muuttamisen.
Kryptohyökkäyksiä ei ollut raportoitu. Polygon Labsin teknologiajohtaja Mudit Gupta sanoi, että haavoittuvuus oli yleinen ohjelmistoturvallisuusongelma, ei kryptokohtainen, ja vanhempi tai korjaamaton ohjelmisto aiheutti erityistä huolta. Hän sanoi, että käyttäjät pitävät lompakot, kaupankäyntityökalut ja laitteet ajan tasalla, olivat pienemmällä riskillä.
Yhteenveto
Selaimen vastaus sulki välittömän reitin varmenteen henkilöllisyyden esittämiselle, mutta ei ratkaissut laajempaa ohjelmistoongelmaa. Jäljelle jäävä altistus riippuu siitä, hylkäävätkö yksittäiset työkalut vaarantuneet tunnistetiedot – ei pelkästään siitä, onko myöntäjä peruuttanut ne.
Lue lisää uutisia
Vastuuvapauslauseke
Tämä FinanceVelix artikkeli tarjoaa yleistä tietoa, ei henkilökohtaista taloudellista, sijoitus-, oikeudellista tai veroneuvontaa. Markkinahinnat, korot ja taloudelliset olosuhteet voivat muuttua; sijoituksiin liittyy tappioriski. Faktat heijastavat saatavilla olevaa materiaalia julkaisun yhteydessä ja voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja konsultoi tarvittaessa pätevää ammattilaista. Omaisuuden, yrityksen tai palvelun mainitseminen ei ole hyväksyntää.
