Intialaisen varmentajan eMudhran kahdeksan vaarantunutta allekirjoitusavainta paljasti kuilun selainten suojauksen ja verkkosivustojen sekä kaupankäyntityökalujen taustalla toimivien ohjelmistojen välillä. Lokakuun 21. päivään mennessä suuret selainvalmistajat olivat estäneet kyseiset varmenteet, mutta jotkin muut kuin selainohjelmat saattoivat silti hyväksyä väärennettyjä tunnistetietoja, koska ne eivät tarkista, onko varmenteita mitätöity.
Tärkeimmät huomiot
- Tutkijat palauttivat kahdeksan heikkoa yksityistä avainta, joita voitiin käyttää luotettavia verkkosivustoja jäljittelevien varmenteiden allekirjoittamiseen.
- Selainvalmistajat estivät kyseiset varmenteet, mutta pelkkä mitätöinti ei suojaa ohjelmistoja, jotka eivät koskaan tarkista sitä.
- Kryptoihin kohdistuneista hyökkäyksistä ei ollut raportoitu; huoli koskee vanhentuneita ohjelmistoja laajemmin koko internetissä.
Sisällysluettelo
- Mihin eMudhran avainmurto jättää haavoittuvuuksia?
- Mitkä suojaukset olivat saavuttaneet käyttäjät?
- Miten heikot avaimet horjuttivat verkkosivustojen varmennusta?
- Miksi kaupankäyntiohjelmistot vaativat erillistä huomiota?
- Yhteenveto
Mihin eMudhran avainmurto jättää haavoittuvuuksia?
Keskeinen ero on siinä, että varmenne poistetaan käytöstä ja siinä, että ohjelmisto saadaan kieltäytymään luottamasta siihen. eMudhra mitätöi kyseiset varmenteet, mutta tietoturvatutkija Scott Helme varoitti, ettei tästä ole hyötyä ohjelmille, jotka eivät tarkista varmenteen mitätöintitilaa.
Helme kertoi testiensä osoittaneen, että curl, Python, Node, Go ja Java hyväksyivät Stripe-rajapintaa varten väärennetyn varmenteen. Kyseessä oli esimerkki varmenteen hyväksymisestä, ei todiste siitä, että Stripe olisi joutunut tietomurron kohteeksi.
Vilpillinen varmenne voi mahdollistaa sen, että verkkoliikennettä sieppaava taho esiintyy luotettavana palveluna ja lukee tai muuttaa liikennettä. Selainten estot torjuvat tämän reitin suojatuissa selaimissa, mutta eivät takaa, että kaikki erilliset sovellukset tai taustajärjestelmät olisivat saaneet vastaavan suojauksen.
| Kohde | Tiedot |
|---|---|
| Mozilla ja Chrome | Molemmat estivät kyseiset varmenteet lokakuun 17. päivänä; Mozillan esto tuli noin kolme tuntia ilmoituksen jälkeen. |
| Apple | Seurasi omalla toimellaan lokakuun 19. päivänä. |
| Microsoft | Seurasi lokakuun 20. päivänä. |
| Varmenteen mitätöinti | eMudhra mitätöi kyseiset varmenteet, mutta toimenpiteestä on hyötyä vain, jos ohjelmisto tarkistaa mitätöinnin. |
| Muille kuin selainohjelmille saatavilla olevat korjaukset | Korjaukset olivat saatavilla Golle, Pythonin certifi-paketille ja Rustin webpki-rootsille. |
| Node.js | Korjausta vielä odotettiin lokakuun 21. päivänä. |
Mitkä suojaukset olivat saavuttaneet käyttäjät?
Toimet käynnistyivät sen jälkeen, kun Wayne-niminen tutkija ilmoitti asiasta selainvalmistajille lokakuun 17. päivänä. Hän osoitti hallitsevansa kaikkia kahdeksaa vaarantunutta avainta allekirjoittamalla varoituksensa digitaalisesti niiden avulla. Korjausten saatavuus ei kuitenkaan osoittanut, että kaikki asennukset olisi päivitetty.
Miten heikot avaimet horjuttivat verkkosivustojen varmennusta?
Varmentajat toimittavat tunnistetiedot, joiden avulla selaimet varmentavat verkkosivustojen henkilöllisyyden. Niiden yksityisiin allekirjoitusavaimiin liittyy siksi erilainen vastuu kuin tavalliseen verkkosivuston salasanaan: vaarantunutta allekirjoitusavainta voidaan käyttää muiden sivustojen aidoilta näyttävien varmenteiden luomiseen.
Helme kertoi palauttaneensa kaikki kahdeksan avainta julkisista varmenteista alle sekunnissa. Hänen tunnistamiinsa yksityisten avainten arvoihin kuuluivat 4 ja 56, mikä havainnollistaa, kuinka vähäistä vastusta avaimet tarjosivat palauttamista vastaan. Hänen mukaansa ne olivat olleet paljastuneina huhtikuusta 2025 lähtien.
Helmen Mozilla-virheilmoituksesta tekemän tulkinnan mukaan eMudhra syytti ongelmasta virhettä avainten määritysskriptissään.
Miksi kaupankäyntiohjelmistot vaativat erillistä huomiota?
Kryptojen käyttäjille altistuminen ei rajoitu pörssin avaamiseen selaimessa. Pörssibotit, kaupankäyntiskriptit ja lompakoiden taustajärjestelmät voivat käyttää kyseisiä muita kuin selainohjelmistoja. Teoriassa väärennetty pörssin API-varmenne voisi antaa hyökkääjälle, joka on samassa verkossa, mahdollisuuden siepata botin liikennettä tai muuttaa sitä.
Kryptoihin kohdistuneista hyökkäyksistä ei ollut raportoitu. Polygon Labsin teknologiajohtaja Mudit Gupta sanoi haavoittuvuuden olevan yleinen ohjelmistoturvallisuuteen liittyvä ongelma, ei kryptokohtainen, ja että erityisenä huolenaiheena ovat vanhemmat tai päivittämättömät ohjelmistot. Hänen mukaansa ajan tasalla olevia lompakoita, kaupankäyntityökaluja ja laitteita käyttävien käyttäjien riski oli pienempi.
Yhteenveto
Selaimiin tehdyt toimet sulkivat välittömän reitin varmenteiden avulla tapahtuvaan toisena esiintymiseen, mutta eivät ratkaisseet ohjelmistoihin liittyvää laajempaa ongelmaa. Jäljelle jäävä altistuminen riippuu siitä, hylkäävätkö yksittäiset työkalut vaarantuneet tunnistetiedot – ei pelkästään siitä, onko varmenteen myöntäjä mitätöinyt ne.
Lue lisää uutisia
Vastuuvapauslauseke
Tämä FinanceVelixin artikkeli sisältää yleistä tietoa, eikä se ole henkilökohtaista talous-, sijoitus-, laki- tai veroneuvontaa. Markkinahinnat, korot ja talousolosuhteet voivat muuttua; sijoituksiin liittyy tappioriski. Tiedot perustuvat julkaisuhetkellä saatavilla olleeseen aineistoon ja voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja ota tarvittaessa yhteyttä pätevään asiantuntijaan. Omaisuuserän, yrityksen tai palvelun mainitseminen ei ole suositus.
