Astoņi kompromitēti TLS sertifikāti izsauc globālu interneta drošības trauksmi

Attēls: Ars Technica · Avots

Astoņi Indijas CA eMudhra starpnieksertifikāti tika atklāti ar ļoti vājiem privātajiem atslēgām, kas lika pārlūkprogrammām un lielajām lietotnēm atsaukt uzticību, izraisot sarežģītu un plašu drošības tīrīšanu.

2026. gada oktobrī interneta drošības kopiena tika satricināta ar nopietnu trauksmi pēc tam, kad tika atklāti astoņi kompromitēti TLS sertifikāti, ko izdevusi Indijas sertifikācijas iestāde eMudhra Limited. Šie sertifikāti, kas tiek saukti par starpnieksertifikātiem, ir pilnvaroti izsniegt uzticamus akreditācijas datus jebkurai tīmekļa vietnei, tādējādi to kompromitācija ir kritiska problēma. Traucējoši, ka šo sertifikātu privātās atslēgas bija ļoti zemas entropijas — dažas sasniedza tikai no 3 līdz 8 bitiem, salīdzinot ar standarta 384 biti, ko sagaida drošas eliptiskās līknes kriptogrāfijas atslēgas. Tādas vājas atslēgas var tikt atjaunotas un ļaunprātīgi izmantotas, lai izveidotu viltotus sertifikātus, kurus pieņem pārlūkprogrammas un citas lietotnes.

Tūlīt pēc atklāšanas galvenie pārlūkprogrammu izstrādātāji un vairāki lietotņu veidotāji ātri reaģēja, bloķējot visus astoņus starpnieksertifikātus, lai novērstu neatļautu sertifikātu izsniegšanu. Kompromitētās atslēgas tika demonstrētas publiski, izmantojot digitālo parakstu uz brīdinājuma ziņojumu, ko izpildīja atklājēju komanda, apliecinot atslēgu kontroli un uzsverot situācijas steidzamību.

Drošības eksperti, tostarp kriptogrāfijas inženieris Filippo Valsorda, ir salīdzinājuši pēcāk veicamo atkopšanas darbu ar plašo OpenSSL Heartbleed ievainojamības novēršanas operāciju 2014. gadā. Tīrīšanas process būs sarežģīts un ilgstošs, aptverot atjauninājumus dažādās sistēmās, tajā skaitā Linux izplatījumos, iebūvētās ierīcēs, lietu interneta aparatūrā un programmatūras ekosistēmās, kas ietver savus sertifikātu krājumus. Daudzas ierīces un lietotnes varēs palikt neaizsargātas līdz brīdim, kad tiks pielietoti plāksteri un sertifikāti izsniegti atkārtoti.

Nozares novērotāji ir spekulējuši, ka vājas atslēgas iespējams radījusi kļūdaina vai nepareizi izmantota atslēgu ģenerēšanas lietotāja saskarne, kas varētu būt nejauši palaidusi piemēru vai testēšanas kodu ražošanas vidē — kļūda, kas līdz šim palika nepamanīta. Šis incidents atklāj fundamentālu vājumu TLS uzticības ķēdē, kur visas sistēmas drošība ir atkarīga no katras sertifikācijas iestādes un tās sertifikātu integritātes.

Lai arī sertifikātu pārredzamības žurnālos vēl nav parādījušies ļaunprātīga lietojuma pierādījumi, pastāv risks, ka uzbrucēji ar piekļuvi tīklam — īpaši naidīgās vidēs vai lokālajos tīklos — var veikt vidusposma uzbrukumus, izmantojot šos kompromitētos sertifikātus. VPN pakalpojumu lietotāji, kur TLS ir svarīga drošības sastāvdaļa, saskaras ar palielinātu risku, ja viņu pakalpojumu sniedzēji paļaujas uz kādu no šiem sertifikātiem.

Lielākās pārlūkprogrammas, tostarp Chrome un Firefox, ir atslēgušas uzticību skartajiem sertifikātiem, lai gan dažas platformas, piemēram, Microsoft Edge operētājsistēmā Windows 10, sākotnēji turpināja pieņemt savienojumus ar serveriem, kas izmanto šos sertifikātus. Microsoft nekavējoties nav sniedzis informāciju par plāniem bloķēt šos sertifikātus. Ziņojumapmaiņas lietotnes kā Signal un WhatsApp, kas izmanto alternatīvas šifrēšanas metodes, ziņojami nav ietekmētas.

Šis incidents uzsver vajadzību rūpīgi uzraudzīt sertifikācijas iestādes un ātri rīkoties, kad tiek atklātas kriptogrāfiskas vājības. Pārredzamības žurnāli palīdz atklāt šādas problēmas, taču tie prasa visu laiku plašu un pastāvīgu uzraudzību. eMudhra rakstīšanas brīdī nav sniegusi oficiālu komentāru. Interneta lietotāji un administratori tiek aicināti nodrošināt, ka viņu sistēmas un programmatūra izmanto jaunākos atjauninājumus, lai mazinātu drošības riskus, kas saistīti ar šo sertifikātu kompromitēšanu.