Az indiai eMudhra tanúsítványkiadó hatóságnál kompromittálódott nyolc aláírókulcs rávilágított a böngészők védelme és a webhelyek, illetve kereskedési eszközök mögött futó szoftverek közötti hiányosságra. Október huszonegyedikén a nagy böngészőgyártók már letiltották az érintett tanúsítványokat, de egyes nem böngészőprogramok továbbra is elfogadhattak hamisított hitelesítő adatokat, mert nem ellenőrzik, hogy visszavonták-e a tanúsítványokat.
Legfontosabb tudnivalók
- A kutatók nyolc gyenge privát kulcsot szereztek meg, amelyekkel megbízható webhelyeket megszemélyesítő tanúsítványokat lehetett aláírni.
- A böngészőgyártók letiltották az érintett tanúsítványokat, de a visszavonás önmagában nem védi azokat a szoftvereket, amelyek egyáltalán nem ellenőrzik ezt.
- Kriptovalutákkal kapcsolatos támadásokról nem érkezett jelentés; az aggodalom az internet egészén használt elavult szoftverekre is kiterjed.
Tartalomjegyzék
- Hol maradnak kitettségek az eMudhra kulcsainak kompromittálódása után?
- Milyen védelem jutott el a felhasználókhoz?
- Hogyan ásta alá a webhelyek ellenőrzését a gyenge kulcsok használata?
- Miért igényelnek külön figyelmet a kereskedési szoftverek?
- Összegzés
Hol maradnak kitettségek az eMudhra kulcsainak kompromittálódása után?
Fontos különbség van egy tanúsítvány visszavonása és annak biztosítása között, hogy a szoftver ne bízzon meg benne. Az eMudhra visszavonta az érintett tanúsítványokat, Scott Helme biztonsági kutató azonban arra figyelmeztetett, hogy ez nem nyújt védelmet azoknak a programoknak, amelyek nem ellenőrzik a visszavonási állapotot.
Helme elmondta, hogy tesztjei során a curl, a Python, a Node, a Go és a Java elfogadott egy hamisított tanúsítványt a Stripe API-jához. Ez a tanúsítvány elfogadásának bemutatása volt, nem pedig bizonyíték arra, hogy feltörték a Stripe-ot.
Egy csalárd tanúsítvány lehetővé teheti, hogy egy hálózati lehallgató megbízható szolgáltatásnak adja ki magát, és elolvassa vagy módosítsa a forgalmat. A böngészőblokkolások a védett böngészők esetében lezárják ezt az utat; ugyanakkor nem bizonyítják, hogy minden különálló alkalmazás vagy háttérrendszer hasonló védelmet kapott.
| Tétel | Részletek |
|---|---|
| Mozilla és Chrome | Mindkettő október tizenhetedikén blokkolta az érintett tanúsítványokat; a Mozilla körülbelül három órával a bejelentés után vezette be a tiltást. |
| Apple | Október tizenkilencedikén reagált. |
| Microsoft | Október huszadikán követte. |
| Tanúsítvány-visszavonás | Az eMudhra visszavonta az érintett tanúsítványokat, de az intézkedés csak azoknál a szoftvereknél nyújt segítséget, amelyek ellenőrzik a visszavonást. |
| Elérhető javítások a nem böngészőprogramokhoz | A Go, a Python certifi csomagja és a Rust webpki-roots csomagja számára voltak elérhetők javítások. |
| Node.js | Október huszonegyedikén még függőben volt a javítás. |
Milyen védelem jutott el a felhasználókhoz?
A válaszlépések azután kezdődtek, hogy egy Wayne nevű kutató október tizenhetedikén értesítette a böngészőgyártókat. Azzal bizonyította, hogy mind a nyolc kompromittálódott kulcs felett rendelkezik, hogy digitálisan aláírta velük a figyelmeztetését. A javítások elérhetősége nem jelenti azt, hogy minden telepített példányt frissítettek.
Hogyan ásta alá a webhelyek ellenőrzését a gyenge kulcsok használata?
A tanúsítványkiadó hatóságok biztosítják azokat a hitelesítő adatokat, amelyekkel a böngészők ellenőrzik a webhelyek személyazonosságát. Ezért a privát aláírókulcsok más jellegű felelősséggel járnak, mint egy átlagos webhelyjelszó: egy kompromittálódott aláírókulccsal más webhelyekhez is hitelesnek tűnő tanúsítványok állíthatók elő.
Helme elmondása szerint kevesebb mint egy másodperc alatt mind a nyolc kulcsot kinyerte a nyilvános tanúsítványokból. Az általa azonosított privátkulcs-értékek között szerepelt a 4 és az 56 is, ami jól mutatja, milyen csekély ellenállást tanúsítottak a kulcsok a visszafejtési kísérletekkel szemben. Elmondása szerint a kulcsok 2025 áprilisa óta voltak kitéve a kockázatnak.
Helme a Mozilla hibajegyének értelmezése szerint az eMudhra a kulcsok beállítására szolgáló szkript hibájára hivatkozott.
Miért igényelnek külön figyelmet a kereskedési szoftverek?
A kriptovaluta-felhasználók kitettsége nem korlátozódik arra, hogy egy tőzsdét böngészőben nyitnak meg. A tőzsdei botok, kereskedési szkriptek és tárcák háttérrendszerei is támaszkodhatnak az érintett, nem böngészőprogramokra. Elméletileg egy hamisított tőzsdei API-tanúsítvány lehetővé teheti, hogy ugyanazon a hálózaton egy támadó lehallgassa vagy módosítsa egy bot forgalmát.
Kriptovalutákkal kapcsolatos támadásokról nem érkezett jelentés. Mudit Gupta, a Polygon Labs technológiai igazgatója szerint a sérülékenység általános szoftverbiztonsági probléma, nem kifejezetten a kriptovalutákhoz kötődik; az elavult vagy nem javított szoftverek különösen aggasztóak. Hozzátette, hogy kisebb kockázatnak vannak kitéve azok a felhasználók, akik naprakészen tartják a tárcáikat, kereskedési eszközeiket és készülékeiket.
Összegzés
A böngészők intézkedése lezárt egy közvetlen utat a tanúsítványokkal történő megszemélyesítés előtt, de nem oldotta meg a szoftverekkel kapcsolatos tágabb problémát. A fennmaradó kitettség attól függ, hogy az egyes eszközök elutasítják-e a kompromittálódott hitelesítő adatokat – nem pusztán attól, hogy a kibocsátó visszavonta-e azokat.
További hírek
Felelősségkizárás
Ez a FinanceVelix-cikk általános tájékoztatást nyújt, nem minősül személyre szabott pénzügyi, befektetési, jogi vagy adózási tanácsadásnak. A piaci árak, a kamatlábak és a gazdasági feltételek változhatnak; a befektetések veszteség kockázatával járnak. A tények a közzététel időpontjában rendelkezésre álló információkat tükrözik, és változhatnak. A fontos információkat önállóan is ellenőrizze, és szükség esetén forduljon megfelelő képesítéssel rendelkező szakemberhez. Egy eszköz, vállalat vagy szolgáltatás említése nem jelent ajánlást.
