Nyolc titkos kulcs, amelyet az eMudhra, egy weboldalakat hitelesítő indiai tanúsítványhatóság bocsátott ki, kompromittálódott, ami arra késztette a böngésző- és szoftvergyártókat, hogy sietve javításokat adjanak ki. A kulcsokat az eset tényei szerint elég gyengének írták le ahhoz, hogy feltörjék őket.
A kompromittálódás azt jelenti, hogy a kulcsokat legitim weboldalak megszemélyesítésére vagy rosszindulatú szoftverek aláírására lehetett használni, bár konkrét támadásokat nem erősítettek meg. Az érintett kulcsok a felhasználók és a weboldalak közötti biztonságos kapcsolatokat alátámasztó infrastruktúra részét képezik.
Mire lehettek képesek a kompromittált kulcsok
Az olyan tanúsítványhatóságok, mint az eMudhra, digitális tanúsítványokat bocsátanak ki, amelyeket a böngészők a weboldal identitásának ellenőrzésére használnak. A titkos kulcsok a tanúsítványok mögötti kriptográfiai anyagot jelentik. Ha egy kulcs elég gyenge ahhoz, hogy feltörjék, egy támadó potenciálisan érvényesnek tűnő hamis tanúsítványokat hozhat létre, lehetővé téve számára a forgalom elfogását vagy rosszindulatú szoftverek terjesztését egy megbízható forrás látszata alatt.
A tények nem részletezik, hogyan kompromittálódtak a kulcsok, vagy mely tanúsítványok érintettek. A kulcsok elég gyengének való leírása azonban arra utal, hogy hiányos véletlenszerűséggel vagy elavult algoritmusokkal generálhatták őket, ami sebezhetővé teszi őket brute-force támadásokkal szemben.
Miért cselekszenek gyorsan a böngészők
A böngésző- és szoftvergyártók javításokkal reagálnak, ami szokásos reakció, amikor tanúsítványhatósági kulcsok kompromittálódnak. A böngészők nyilvántartják a megbízható tanúsítványhatóságok listáját, és visszavonhatják a bizalmat bizonyos kulcsokban vagy teljes hatóságokban. A válasz sebessége tükrözi a lehetséges kockázatot: ha egy kompromittált kulcs megbízható marad, minden felhasználó, aki arra a böngészőre támaszkodik, ki lehet téve.
A javítások valószínűleg a tanúsítvány-visszavonási listák vagy bizalmi tárak frissítését jelentik, amelyeket a böngészők annak eldöntésére használnak, hogy mely tanúsítványokat fogadják el. A felhasználók közvetlenül nem biztos, hogy észreveszik a változásokat, de a frissítések célja a sebezhetőségi ablak bezárása.
Mit mondott az eMudhra
A tények nem tartalmaznak semmilyen nyilatkozatot az eMudhrától a kompromittálódásról. A cég egy indiai tanúsítványhatóság, egyike azon többnek, amelyek digitális tanúsítványokat bocsátanak ki weboldalak és szoftverek számára. A bizalmi láncban betöltött szerepe azt jelenti, hogy kulcsaiban bármilyen gyengeség széles körű hatással lehet.
A tanúsítványhatóságoknak szigorú biztonsági előírásokat kell követniük, és a kompromittálódásokat általában közzéteszik a böngészőgyártók és a szabályozók felé. A tények nem jelzik, hogy az eMudhra értesítette-e az érintett feleket, vagy tett-e lépéseket a kompromittált kulcsok visszavonására.
Mi történik ezután
A böngésző- és szoftvergyártók bevezetik a javításokat, de a teljes hatás attól függ, milyen gyorsan frissítik a felhasználók a szoftverüket. A tények nem határozzák meg a javítások ütemtervét, vagy azt, hogy a kompromittált kulcsokat teljesen visszavonták-e. A felhasználóknak és adminisztrátoroknak figyelniük kell a böngészőfrissítéseket, és haladéktalanul alkalmazniuk kell azokat.
Az eset kérdéseket vet fel azzal kapcsolatban is, hogyan generálták a kulcsokat, és hogy más tanúsítványhatóságoknak lehetnek-e hasonló gyengeségeik. A tények nem foglalkoznak ezekkel a kérdésekkel, de a böngészőgyártók reakciója arra utal, hogy komolyan veszik a kompromittálódást.
Egyelőre a hangsúly a javítások kiadásán és annak biztosításán van, hogy a kompromittált kulcsok ne használhatók a biztonságos kapcsolatokba vetett bizalom aláásására. A következő lépés valószínűleg az eMudhra gyakorlatainak felülvizsgálata, és esetleg szélesebb körű változtatások a tanúsítványhatóságok kulcsgenerálási és -védelmi módszereiben.
