คีย์ลงนาม 8 รายการของ eMudhra หน่วยงานออกใบรับรองของอินเดียที่ถูกเจาะ ได้เผยให้เห็นช่องว่างระหว่างการป้องกันของเบราว์เซอร์กับซอฟต์แวร์ที่ทำงานอยู่เบื้องหลังเว็บไซต์และเครื่องมือเทรด ณ วันที่ 21 ตุลาคม ผู้พัฒนาเบราว์เซอร์รายใหญ่ได้บล็อกใบรับรองที่ได้รับผลกระทบแล้ว แต่โปรแกรมบางประเภทที่ไม่ใช่เบราว์เซอร์ยังอาจยอมรับข้อมูลรับรองปลอมได้ เพราะไม่ได้ตรวจสอบว่าใบรับรองถูกเพิกถอนแล้วหรือไม่

ประเด็นสำคัญ

  • นักวิจัยกู้คืนคีย์ส่วนตัวที่อ่อนแอได้ 8 รายการ ซึ่งสามารถนำไปใช้ลงนามใบรับรองเพื่อปลอมเป็นเว็บไซต์ที่เชื่อถือได้
  • ผู้พัฒนาเบราว์เซอร์บล็อกใบรับรองที่ได้รับผลกระทบแล้ว แต่การเพิกถอนเพียงอย่างเดียวไม่ช่วยปกป้องซอฟต์แวร์ที่ไม่เคยตรวจสอบสถานะการเพิกถอน
  • ยังไม่มีรายงานการโจมตีคริปโตเคอร์เรนซี แต่ข้อกังวลนี้ครอบคลุมถึงซอฟต์แวร์ที่ล้าสมัยทั่วทั้งอินเทอร์เน็ต

สารบัญ

ช่องโหว่ที่ยังคงเหลือจากการรั่วไหลของคีย์ eMudhra

ประเด็นสำคัญคือความแตกต่างระหว่างการเพิกถอนใบรับรองกับการทำให้แน่ใจว่าซอฟต์แวร์จะไม่เชื่อถือใบรับรองนั้น eMudhra เพิกถอนใบรับรองที่ได้รับผลกระทบแล้ว แต่นักวิจัยด้านความปลอดภัย Scott Helme เตือนว่า การดำเนินการดังกล่าวไม่ช่วยปกป้องโปรแกรมที่ไม่ตรวจสอบสถานะการเพิกถอน

Helme กล่าวว่า การทดสอบของเขาพบว่า curl, Python, Node, Go และ Java ยอมรับใบรับรองปลอมสำหรับ API ของ Stripe นี่เป็นการสาธิตการยอมรับใบรับรอง ไม่ใช่หลักฐานว่า Stripe ถูกเจาะระบบ

ใบรับรองปลอมอาจทำให้ผู้ดักจับข้อมูลบนเครือข่ายปลอมเป็นบริการที่เชื่อถือได้ และอ่านหรือแก้ไขการรับส่งข้อมูลได้ การบล็อกของเบราว์เซอร์ช่วยปิดช่องทางดังกล่าวสำหรับเบราว์เซอร์ที่ได้รับการป้องกัน แต่ไม่ได้ยืนยันว่าแอปพลิเคชันแยกต่างหากหรือระบบแบ็กเอนด์ทุกตัวได้รับการป้องกันในระดับเดียวกันแล้ว

รายการรายละเอียด
Mozilla และ Chromeทั้งสองรายบล็อกใบรับรองที่ได้รับผลกระทบเมื่อวันที่ 17 ตุลาคม โดย Mozilla ดำเนินการบล็อกประมาณ 3 ชั่วโมงหลังได้รับรายงาน
Appleดำเนินการตอบสนองตามมาเมื่อวันที่ 19 ตุลาคม
Microsoftดำเนินการตามมาเมื่อวันที่ 20 ตุลาคม
การเพิกถอนใบรับรองeMudhra เพิกถอนใบรับรองที่ได้รับผลกระทบแล้ว แต่ซอฟต์แวร์ต้องตรวจสอบสถานะการเพิกถอน มาตรการดังกล่าวจึงจะช่วยได้
มีแพตช์สำหรับซอฟต์แวร์ที่ไม่ใช่เบราว์เซอร์มีแพตช์สำหรับ Go, แพ็กเกจ certifi ของ Python และ webpki-roots ของ Rust
Node.jsณ วันที่ 21 ตุลาคม ยังอยู่ระหว่างรอแพตช์

มาตรการป้องกันใดบ้างที่ส่งถึงผู้ใช้แล้ว?

การตอบสนองเริ่มขึ้นหลังจากนักวิจัยชื่อ Wayne แจ้งผู้พัฒนาเบราว์เซอร์เมื่อวันที่ 17 ตุลาคม เขาสาธิตการควบคุมคีย์ทั้ง 8 รายการที่ถูกเจาะ โดยใช้คีย์เหล่านั้นลงนามคำเตือนของเขาแบบดิจิทัล การมีแพตช์ให้ใช้งานไม่ได้ยืนยันว่าทุกการติดตั้งได้รับการอัปเดตแล้ว

คีย์ที่อ่อนแอบั่นทอนการตรวจสอบเว็บไซต์อย่างไร

หน่วยงานออกใบรับรองจัดหาข้อมูลรับรองที่เบราว์เซอร์ใช้ตรวจสอบตัวตนของเว็บไซต์ คีย์ส่วนตัวที่ใช้ลงนามจึงมีความรับผิดชอบแตกต่างจากรหัสผ่านเว็บไซต์ทั่วไป กล่าวคือ ผู้ที่ได้คีย์ลงนามไปอาจนำไปสร้างใบรับรองที่ดูเหมือนของจริงสำหรับเว็บไซต์อื่นได้

Helme กล่าวว่าเขากู้คืนคีย์ทั้ง 8 รายการจากใบรับรองสาธารณะได้ภายในเวลาไม่ถึง 1 วินาที ค่าในคีย์ส่วนตัวที่เขาระบุได้มี 4 และ 56 ซึ่งแสดงให้เห็นว่าคีย์เหล่านี้ต้านทานการกู้คืนได้น้อยเพียงใด เขากล่าวว่าคีย์ดังกล่าวเปิดเผยต่อสาธารณะมาตั้งแต่เดือนเมษายน 2025

จากการอ่านบันทึกบักของ Mozilla โดย Helme ระบุว่า eMudhra โทษบักในสคริปต์ตั้งค่าคีย์

เหตุใดซอฟต์แวร์เทรดจึงต้องได้รับการดูแลเป็นพิเศษ

สำหรับผู้ใช้คริปโตเคอร์เรนซี ความเสี่ยงไม่ได้จำกัดอยู่แค่การเปิดเว็บไซต์กระดานเทรดในเบราว์เซอร์ บอตของกระดานเทรด สคริปต์เทรด และแบ็กเอนด์ของวอลเล็ตอาจพึ่งพาซอฟต์แวร์ที่ไม่ใช่เบราว์เซอร์ซึ่งได้รับผลกระทบ ในทางทฤษฎี ใบรับรอง API ของกระดานเทรดที่ถูกปลอมแปลงอาจเปิดทางให้ผู้โจมตีที่อยู่บนเครือข่ายเดียวกันดักจับหรือเปลี่ยนแปลงข้อมูลที่บอตรับส่งได้

ยังไม่มีรายงานการโจมตีคริปโตเคอร์เรนซี Mudit Gupta ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Polygon Labs กล่าวว่า ช่องโหว่นี้เป็นปัญหาความปลอดภัยของซอฟต์แวร์ทั่วไป ไม่ได้เจาะจงเฉพาะคริปโต โดยซอฟต์แวร์รุ่นเก่าหรือที่ยังไม่ได้ติดตั้งแพตช์เป็นข้อกังวลโดยเฉพาะ เขากล่าวว่าผู้ใช้ที่อัปเดตวอลเล็ต เครื่องมือเทรด และอุปกรณ์ของตนจะเผชิญความเสี่ยงน้อยกว่า

บทสรุป

การตอบสนองของเบราว์เซอร์ปิดช่องทางเร่งด่วนสำหรับการปลอมเป็นผู้ถือใบรับรอง แต่ยังไม่ได้แก้ปัญหาซอฟต์แวร์ในวงกว้าง ความเสี่ยงที่ยังเหลือขึ้นอยู่กับว่าเครื่องมือแต่ละตัวปฏิเสธข้อมูลรับรองที่ถูกเจาะหรือไม่ ไม่ใช่เพียงว่าผู้ออกใบรับรองได้เพิกถอนข้อมูลรับรองเหล่านั้นแล้วหรือไม่

อ่านข่าวเพิ่มเติม

ข่าวเพิ่มเติมจาก FinanceVelix

ข้อจำกัดความรับผิด

บทความ FinanceVelix นี้ให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษีที่ปรับให้เหมาะกับบุคคล ราคาในตลาด อัตราดอกเบี้ย และภาวะเศรษฐกิจอาจเปลี่ยนแปลงได้ การลงทุนมีความเสี่ยงที่จะขาดทุน ข้อเท็จจริงสะท้อนข้อมูลที่มีอยู่ ณ เวลาที่เผยแพร่และอาจเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลสำคัญด้วยตนเองและปรึกษาผู้เชี่ยวชาญที่มีคุณสมบัติเหมาะสมเมื่อจำเป็น การกล่าวถึงสินทรัพย์ บริษัท หรือบริการไม่ได้เป็นการรับรอง