تسببت مشكلة انكشاف المفاتيح الخاصة لشهادات eMudhra في كارثة أمنية كبيرة، لكن مطورًا تشيكيًا يُدعى Daniel Vrátil وجد استخدامًا غير متوقع لها: حجب الإعلانات المزعجة على التلفزيونات الذكية. لقد نشر مشروعه على GitHub، ما يتيح للمهتمين استكشاف هذه الثغرة وتعديلها لأجهزتهم الخاصة. هذه القصة تسلط الضوء على الفرص والمخاطر التي تنطوي عليها هذه الأنواع من الثغرات في عالم الأجهزة المدمجة.
الخلفية: ما هي مشكلة eMudhra؟
سبق أن علمنا بأن شركة eMudhra، ومقرها الهند، لم تكن تبذل قصارى جهدها للحفاظ على أمان مفاتيحها التشفيرية. فقد تم اكتشاف أن ثمانية من مفاتيحها الخاصة لشهادات CA الوسيطة كانت ضعيفة بشكل لا يصدق، بعضها كان مجرد أرقام بسيطة يمكن تخمينها بسهولة. هذا الخلل، الذي أرجعت الشركة سببه إلى سكريبت برمجي ضعيف لتوليد المفاتيح، يعني عمليًا أن أي شخص يمكنه تزوير شهادة eMudhra لانتحال صفة موقع ويب والقيام بأعمال ضارة.
كان Vrátil يستخدم Pi-hole لحجب الإعلانات على تلفزيون Samsung الذكي الخاص به، ولكن بعد أن تعرضت شهادات eMudhra للخطر، عاد للإعلانات. لقد استغل Vrátil حقيقة أن تلفزيونه من طراز 2022 ولا يزال يثق بشهادات eMudhra المخترقة. باستخدام خدمة mitmproxy مفتوحة المصدر، التي تسمح بفحص حركة مرور HTTPS، تمكن Vrátil من اعتراض طلبات التلفزيون وإعادة توجيهها إلى خادم من اختياره.
تبين أن تدفق حركة مرور الإعلانات بسيط للغاية. يتم إرسال نشاط التلفزيون إلى خادم إعلانات، يقوم بدوره بتقديم الإعلانات على الشاشة الرئيسية بناءً على استجابة JSON. من خلال إنشاء شهادة لنطاقات إعلانات Samsung باستخدام مفتاح توقيع eMudhra المخترق، وتكوين الموجه الخاص به لتوجيه الطلبات لتلك النطاقات إلى خادم على شبكته المنزلية، تمكن Vrátil من استبدال الإعلانات بصور عائلته. كما أضاف رمزًا يحول طلبات التتبع إلى «ثقب أسود» بدلًا من إرسالها إلى خوادم Samsung.
المشروع متاح على GitHub لأي شخص يرغب في تجربة هذه التقنية، بشرط أن يكون جهازه لا يزال يدعم شهادات eMudhra. ومع ذلك، يؤكد Vrátil أن الأمر ليس «إعدادًا بنقرة واحدة»، بل يتطلب بعض الجهد لفهم كيفية عمل الإعلانات على الجهاز وتعديل الكود. هذه الطريقة ستعمل فقط طالما أن الأجهزة الضعيفة تستمر في الوثوق بشهادات eMudhra، ما يعني أن الوقت قد يكون عاملاً حاسمًا.
تداعيات أمنية أوسع
نرى أن استغلال ثغرة شهادات eMudhra لا يقتصر على حجب الإعلانات الترفيهي. فالشهادات المخترقة تفتح الكثير من الفرص لفهم وتزوير طلبات الشبكة من الأجهزة المدمجة، خاصة تلك التي لم تعد تتلقى تحديثات أمنية. بينما استبدال الإعلانات بصور العائلة هو أمر ممتع، إلا أن هناك تطبيقات أخرى أكثر خطورة بكثير لهذه الثغرة، والتي يجب على المطورين وشركات تصنيع الأجهزة أخذها على محمل الجد.
بالنسبة للمطورين، تسلط هذه القصة الضوء على عدة نقاط مهمة:
- أهمية تحديثات الأمن: الأجهزة التي لا تتلقى تحديثات أمنية مستمرة (مثل التلفزيونات الذكية القديمة) تظل عرضة للثغرات حتى بعد اكتشافها وإصلاحها من قبل الشركات المصدرة للشهادات.
- فهم بروتوكولات الشبكة: القدرة على استخدام أدوات مثل mitmproxy لفحص حركة مرور HTTPS أمر أساسي لأي مطور يعمل على أجهزة مدمجة أو يواجه تحديات أمن الشبكة.
- مخاطر الثغرات في سلاسل التوريد: مشكلة eMudhra بدأت بسكريبت برمجي ضعيف، ما يؤكد أن الثغرات يمكن أن تتسلل من مراحل مبكرة في دورة حياة المنتج أو الخدمة.
- الوعي بأمن الأجهزة المدمجة: على المطورين الذين يبنون برامج للأجهزة المدمجة أن يدركوا أن هذه الأجهزة يمكن أن تكون هدفًا للاستغلال إذا لم يتم تأمينها بشكل صحيح طوال عمرها الافتراضي.
المصدر: theregister.com