قامت شركة eMudhra، وهي سلطة إصدار شهادات (CA)، بإلغاء ثماني شهادات CA وسيطة إضافية. هذا الإجراء يرفع العدد الإجمالي للشهادات المتأثرة إلى 16 شهادة، بعد تحقيق كشف عن سوء التعامل مع المفاتيح الخاصة خلال عملية إنشاء الشهادات.
التحقيق بيّن أن المشكلة تعود إلى استخدام سكريبت Python مخصص في أبريل 2025، كان يُستخدم لنقل المفاتيح الخاصة بين وحدات الأمن المادية (HSMs). هذه الأجهزة مصممة خصيصاً لتوليد وتخزين مفاتيح التشفير بأمان، ومنع تعرضها خارج الجهاز.
تفاصيل الخلل الأمني
احتوى السكريبت على خطأ أدى إلى تقليل ثمانية مفاتيح ECDSA خاصة إلى بايت واحد فقط، مما جعل استردادها سهلاً للغاية. كما قام السكريبت نفسه بمعالجة ثمانية مفاتيح RSA خاصة أخرى، ولكنه تعامل مع معلومات المفتاح الحساسة في ذاكرة الجهاز الذي يشغل السكريبت بدلاً من الحفاظ عليها محمية داخل وحدات HSM.
رغم أن مفاتيح RSA لم تضعف بنفس طريقة مفاتيح ECDSA، إلا أن eMudhra لم تستطع إثبات أنها تعاملت معها وفقاً لسياساتها الأمنية للشهادات. لهذا السبب، تم إلغاء شهادات RSA الوسيطة الثمانية الإضافية في 7 نوفمبر، ومن ضمنها شهادات تستخدم لإصدار شهادات TLS وتوقيع التعليمات البرمجية. بعض هذه الشهادات كانت قيد الاستخدام لإصدار الشهادات منذ مايو 2026، مع إصدار آخر شهادة في 3 نوفمبر.
كما كشف التحقيق عن مشكلة سابقة في يونيو 2025 كان يمكن أن تكشف عن الخلل قبل أكثر من عام من اكتشاف الباحث الأمني «Wayne» له في أكتوبر 2026، لكن الشركة لم تحقق في سبب المشكلة حينها. وقد صرحت eMudhra بأنه لا يوجد دليل على استخدام المفاتيح المخترقة بشكل ضار.
تداعيات المشكلة والإجراءات المتخذة
المتصفحات وأنظمة التشغيل الكبرى، مثل Mozilla وGoogle وApple، بالإضافة إلى Microsoft، قامت بإصدار تحديثات وحماية لحظر الشهادات المخترقة. أصدرت Microsoft تحديثات لنظام Windows في 26 أكتوبر لإزالة الثقة من سلاسل شهادات eMudhra المتأثرة.
نتيجة للحادثة، أعلنت eMudhra أنها ستخرج من أعمال شهادات TLS الموثوقة علناً، وستنقل عملائها المتبقين إلى مزود آخر، وتخطط لوقف إصدار الشهادات بحلول 16 نوفمبر. كما كلفت الشركة KPMG بمراجعة مستقلة، ومن المتوقع صدور النتائج بحلول 4 ديسمبر، لتحديد التحسينات اللازمة في إجراءات إدارة الشهادات وتوليد المفاتيح لديها.
ما يعنيه هذا للمطورين والمصممين
بالنسبة للمطورين والمصممين، تسلط هذه الحادثة الضوء على الأهمية القصوى لأمان سلسلة التوريد الرقمية والثقة في سلطات إصدار الشهادات. برأينا، تذكير هذا الحادث بأن أي نقطة ضعف في عملية توليد أو إدارة المفاتيح الخاصة يمكن أن تكون لها تداعيات واسعة النطاق، من تعطيل المواقع إلى تمكين اعتراض الاتصالات المشفرة.
يجب على المطورين أن يكونوا على دراية بالمخاطر المحتملة المرتبطة بالشهادات وأن يتبعوا أفضل الممارسات الأمنية، بما في ذلك التحقق من قوة المفاتيح وسلامة الإجراءات الأمنية للمزودين. كما يؤكد هذا الحادث على ضرورة الاستجابة السريعة لأي إنذارات أمنية مبكرة، وعدم تجاهل العلامات التي قد تشير إلى وجود عيوب عميقة في الأنظمة الأساسية.
المصدر: bleepingcomputer.com