Osem kompromitovaných podpisových kľúčov indickej certifikačnej autority eMudhra odhalilo rozdiel medzi ochranou prehliadačov a softvérom, ktorý funguje na pozadí webových stránok a obchodných nástrojov. K 21. októbru významní výrobcovia prehliadačov zablokovali dotknuté certifikáty, no niektoré programy mimo prehliadačov mohli naďalej akceptovať sfalšované prihlasovacie údaje, pretože nekontrolujú, či boli certifikáty odvolané.
Kľúčové body
- Výskumníci získali osem slabých súkromných kľúčov, ktoré bolo možné použiť na podpisovanie certifikátov vydávajúcich sa za dôveryhodné webové stránky.
- Výrobcovia prehliadačov dotknuté certifikáty zablokovali, samotné odvolanie však nechráni softvér, ktorý si jeho stav nikdy nekontroluje.
- Žiadne útoky na kryptomeny neboli nahlásené; obavy sa týkajú zastaraného softvéru v širšom internetovom prostredí.
Obsah
- Kde po úniku kľúčov eMudhra pretrváva zraniteľnosť
- Ktoré ochranné opatrenia sa dostali k používateľom?
- Ako slabé kľúče narušili overovanie webových stránok
- Prečo obchodný softvér vyžaduje osobitnú pozornosť
- Záver
Kde po úniku kľúčov eMudhra pretrváva zraniteľnosť
Dôležitý rozdiel spočíva v tom, či sa certifikát odvolá, alebo v tom, či softvér zabezpečí, že mu prestane dôverovať. eMudhra dotknuté certifikáty odvolala, no bezpečnostný výskumník Scott Helme upozornil, že tento krok nechráni programy, ktoré stav odvolania nekontrolujú.
Helme uviedol, že jeho testy preukázali, že curl, Python, Node, Go a Java akceptovali sfalšovaný certifikát pre API spoločnosti Stripe. Išlo o demonštráciu akceptovania certifikátu, nie o dôkaz, že Stripe bol napadnutý.
Podvodný certifikát môže útočníkovi, ktorý zachytáva sieťovú komunikáciu, umožniť vydávať sa za dôveryhodnú službu a čítať alebo meniť prenášané údaje. Blokovanie v prehliadačoch rieši tento spôsob útoku v chránených prehliadačoch; nezaručuje však, že rovnakú ochranu dostala každá samostatná aplikácia alebo backendový systém.
| Položka | Podrobnosti |
|---|---|
| Mozilla a Chrome | Oba prehliadače zablokovali dotknuté certifikáty 17. októbra; Mozilla tak urobila približne tri hodiny po nahlásení problému. |
| Apple | Svojou reakciou nasledoval 19. októbra. |
| Microsoft | Nasledoval 20. októbra. |
| Odvolanie certifikátov | eMudhra dotknuté certifikáty odvolala, no toto opatrenie pomôže len vtedy, ak softvér stav odvolania kontroluje. |
| Dostupné opravy mimo prehliadačov | Opravy boli k dispozícii pre Go, balík certifi v Pythone a webpki-roots v Ruste. |
| Node.js | K 21. októbru sa na oprave ešte pracovalo. |
Ktoré ochranné opatrenia sa dostali k používateľom?
Reakcia sa začala po tom, ako výskumník Wayne 17. októbra upozornil výrobcov prehliadačov. Preukázal, že ovláda všetkých osem kompromitovaných kľúčov, keď ich použil na digitálne podpísanie svojho upozornenia. Dostupnosť opráv neznamenala, že bola aktualizovaná každá inštalácia.
Ako slabé kľúče narušili overovanie webových stránok
Certifikačné autority poskytujú prihlasovacie údaje, pomocou ktorých prehliadače overujú totožnosť webových stránok. Ich súkromné podpisové kľúče preto plnia inú úlohu než bežné heslo k webovej stránke: kompromitovaný podpisový kľúč možno použiť na vytvorenie dôveryhodne vyzerajúcich certifikátov pre iné stránky.
Helme uviedol, že všetkých osem kľúčov získal z verejných certifikátov za menej než sekundu. Medzi identifikovanými hodnotami súkromných kľúčov boli čísla 4 a 56, čo ilustruje, aký malý odpor kládli kľúče pri pokuse o ich získanie. Podľa jeho slov boli vystavené riziku od apríla 2025.
Podľa Helmeho interpretácie záznamu o chybe v systéme Mozilla eMudhra pripísala problém chybe v skripte na nastavenie kľúčov.
Prečo obchodný softvér vyžaduje osobitnú pozornosť
Pre používateľov kryptomien sa príslušné riziko neobmedzuje na prístup na burzu cez prehliadač. Boty búrz, obchodné skripty a backendové systémy peňaženiek sa môžu spoliehať na dotknutý softvér mimo prehliadačov. Teoreticky by sfalšovaný certifikát API burzy mohol útočníkovi v rovnakej sieti umožniť zachytávať alebo meniť komunikáciu obchodného bota.
Žiadne útoky na kryptomeny neboli nahlásené. Technologický riaditeľ spoločnosti Polygon Labs Mudit Gupta uviedol, že zraniteľnosť predstavuje všeobecný problém softvérovej bezpečnosti, nie problém špecifický pre kryptomeny, pričom osobitné obavy vyvoláva starší alebo neaktualizovaný softvér. Dodal, že používatelia, ktorí aktualizujú peňaženky, obchodné nástroje a zariadenia, čelia nižšiemu riziku.
Záver
Reakcia prehliadačov uzavrela bezprostrednú cestu k vydávaniu sa za iné subjekty prostredníctvom certifikátov, nevyriešila však širší problém so softvérom. Zostávajúce riziko závisí od toho, či jednotlivé nástroje odmietnu kompromitované prihlasovacie údaje — nielen od toho, či ich vydavateľ odvolal.
Ďalšie správy
Upozornenie
Tento článok FinanceVelix poskytuje všeobecné informácie, nie personalizované finančné, investičné, právne ani daňové poradenstvo. Trhové ceny, úrokové sadzby a ekonomické podmienky sa môžu meniť; investície sú spojené s rizikom straty. Uvedené fakty vychádzajú z materiálov dostupných v čase zverejnenia a môžu sa zmeniť. Dôležité informácie si nezávisle overte a v prípade potreby sa obráťte na kvalifikovaného odborníka. Uvedenie aktíva, spoločnosti alebo služby nepredstavuje odporúčanie.
