في خبر هز مجتمع الأمن السيبراني، اضطرت سلطة التصديق الهندية eMudhra للدفاع عن نفسها بعد الكشف عن استخدامها لمفاتيح خاصة شديدة الضعف لتوقيع بعض الشهادات الرقمية التي أصدرتها. هذه المفاتيح كانت سهلة التخمين لدرجة صادمة، وهو ما يفتح الباب واسعًا أمام عمليات الاحتيال وانتحال الهوية.
تخيل أن أحد المفاتيح الخاصة المستخدمة كان مجرد الرقم «4». وهناك مفاتيح أخرى كانت سلاسل قصيرة من أرقام مكونة من خانتين أو ثلاث، يمكن تخمينها بسهولة بالغة. هذا الضعف يسمح للمخترقين بتزوير الشهادات الرقمية وانتحال صفة المواقع أو الموارد الأخرى، وهو ما يمثل ذهبًا للمحتالين ومستخدمي التصيد الاحتيالي.
كيف حدث هذا؟
زعمت eMudhra أن المفاتيح جرى توليدها خلال «مراسم توليد مفاتيح (KGC) عُقدت في 30 أبريل 2025»، وذلك باستخدام وحدات أمان الأجهزة (HSMs) المتوافقة مع معيار FIPS 140-2 المستوى 3. هذا النوع من الأجهزة يُعد المعيار الصناعي لتوليد مفاتيح معقدة وتخزينها بأمان، ولكن من الواضح أن شيئًا ما قد حدث خطأ.
وفقًا لبيان الشركة، «تسبب عيب في عملية KGC في خطوة التغليف/فك التغليف في إنتاج مجموعة ثانية من المفاتيح الضعيفة جنبًا إلى جنب مع المفاتيح القوية الأصلية». وقد جرى نشر هذه المفاتيح الضعيفة في مخازن الجذور بالمتصفحات. تعمل eMudhra الآن على تحديد السبب الجذري للمشكلة، لكنها في الوقت نفسه ألقت ببعض اللوم على المدققين وأصحاب المصلحة الآخرين، مشيرة إلى أن هذه الجذور والهيئات المصدقة الفرعية خضعت لتدقيقات مستقلة لمدة عامين متتاليين وكانت ضمن قوائم الثقة للمتصفحات منذ منتصف عام 2025.
ماذا يعني هذا للمطورين؟
بالنسبة لأي مطور أو مسؤول نظام يعتمد على شهادات eMudhra، فإن هذا الحادث يعني مهمة عاجلة وغير مرغوبة ومكلفة لاستبدال الشهادات المتأثرة. على الرغم من أن eMudhra ذكرت أن أعمالها المتعلقة بـ TLS تولد 1% فقط من إيراداتها، إلا أن هذا لا يغير حقيقة أن المستخدمين النهائيين وخدماتهم قد أصبحوا في موقف حرج.
تعمل eMudhra مباشرة مع العملاء الذين قد يكونون متأثرين لتقديم شهادات بديلة لهم لضمان عدم تعطل الخدمات الحيوية، وتواصل تحقيقاتها. نرى أن هذا الحادث يمثل تذكيرًا صارخًا بأهمية التدقيق المستمر لأمن البنية التحتية للمفاتيح العامة (PKI) والتحقق من صحة وقوة المفاتيح المستخدمة في الشهادات الرقمية التي نعتمد عليها.
المصدر: theregister.com