خبر کامل
بحران گواهینامه‌های TLS؛ کشف کلیدهای رمزنگاری بسیار ضعیف در شرکت eMudhra
امنیت سایبری جهانی پس از کشف یک نقص فنی بسیار جدی در گواهینامه‌های TLS متعلق به شرکت هندی eMudhra Limited، در وضعیت آماده‌باش کامل قرار گرفته است. این نقص به قدری وخیم است که می‌تواند به مهاجمان اجازه دهد برای هر وب‌سایت یا سروری در اینترنت، اعتبارنامه‌های جعلی و معتبر تولید کنند.
بحران گواهینامه‌های eMudhra؛ فراتر از حادثه هارت‌بلید
متخصصان امنیت، این حادثه را با بحران تاریخی Heartbleed مقایسه می‌کنند، اما هشدار می‌دهند که ابعاد این مشکل به دلیل تنوع سیستم‌ها، بسیار پیچیده‌تر است. برخلاف هارت‌بلید، این نقص مستقیماً با ساختار تولید کلیدهای رمزنگاری در ارتباط است.
بررسی‌های اولیه نشان می‌دهد که ۸ گواهینامه واسطه (Intermediate) متعلق به این شرکت دارای کلیدهای خصوصی بسیار ضعیفی هستند. این کلیدها به جای داشتن سطح امنیتی استاندارد، در ابعاد بسیار ناچیزی تولید شده‌اند که حدس زدن آن‌ها برای هر مهاجمی امکان‌پذیر است.
«این یک عملیات پاکسازی عظیم خواهد بود؛ بزرگتر از هارت‌بلید. ما با طیف گسترده‌ای از دستگاه‌های اینترنت اشیا، کانتینرهای داکر و سیستم‌های لینوکسی مواجه هستیم که به‌روزرسانی آن‌ها زمان‌بر خواهد بود.»
جزئیات فنی: وقتی رمزنگاری به مرز پوچی می‌رسد
در حالی که یک کلید استاندارد NIST P-384 باید دارای حدود ۳۸۴ بیت آنتروپی باشد، کلیدهای کشف شده در این بحران دارای ابعاد بسیار مضحکی بودند. داده‌های استخراج شده نشان می‌دهد که اندازه این کلیدها بین ۳ تا ۲۳۷ بیت متغیر بوده است.
مقایسه ابعاد کلیدهای آسیب‌پذیر در برابر استانداردهای امنیتی در جدول زیر قابل مشاهده است:
| نوع کلید / استاندارد | اندازه امنیت (بیت) | وضعیت |
|---|---|---|
| استاندارد NIST P-384 | ~384 | امن |
| کلیدهای کشف شده (حداقل) | 3 تا 8 | بسیار خطرناک |
| کلیدهای کشف شده (حداکثر) | 237 | ناامن |
کارشناسان گمانه‌زنی می‌کنند که احتمالاً کدهای نمونه (Example Code) به اشتباه در محیط عملیاتی استفاده شده‌اند که منجر به این خطای فاحش در تولید کلید شده است.
پیامدهای امنیتی و اقدامات پیشگیرانه
در حال حاضر، اکثر مرورگرهای اصلی برای جلوگیری از سوءاستفاده، این گواهینامه‌ها را مسدود کرده‌اند. با این حال، تهدید اصلی برای سیستم‌هایی است که به طور مستقیم از مرورگر استفاده نمی‌کنند، مانند:
- دستگاه‌های اینترنت اشیا (IoT): که به‌روزرسانی آن‌ها بسیار دشوار است.
- شبکه‌های VPN: که ممکن است در معرض حملات شنود قرار بگیرند.
- توزیع‌های لینوکس و ابزارهای خط فرمان: که نیاز به مدیریت سیستم توسط مدیران شبکه دارند.
کارشناسان توصیه می‌کنند کاربران در استفاده از ارتباطات غیرمرورگری که مبتنی بر TLS هستند، تا زمان اطمینان از به‌روزرسانی سیستم‌ها، بسیار محتاط باشند.
در نهایت، این حادثه بار دیگر نشان داد که امنیت اینترنت تنها به اندازه ضعیف‌ترین حلقه زنجیره آن، یعنی گواهینامه‌های صادر شده توسط نهادهای واسطه، مستحکم است. مدیریت این بحران سال‌ها به طول خواهد انجامید.
درباره هوش‌مصنوعی دست‌اول:
تمامی اخبار دست‌اول توسط دستیار هوش مصنوعی «هوشنگ» پردازش، صحت‌سنجی، خلاصه و بازنویسی شده است. هوشنگ هر روز با داده‌های جدید آموزش داده می‌شود و با نظارت دقیق انسانی و سردبیری دست‌اول در حال بهتر شدن است.
شما می‌توانید از چت‌بات و سایر ابزارهای هوشنگ به صورت رایگان استفاده کنید.
زمان انتشار:
۱۶:۱۷ - ۱۴۰۵/۰۷/۲۸