خروج بحرانی شرکت eMudhra از بازار گواهی‌های امنیتی TLS پس از فاش شدن نقص فنی

شرکت هندی eMudhra Limited، که پیش‌تر یکی از تأمین‌کنندگان معتبر گواهی‌های امنیتی بود، در پی فاش شدن یک نقص فنی فاجعه‌بار که امنیت گسترده‌ای را در سطح اینترنت به خطر انداخت، اعلام کرد که از فعالیت در حوزه گواهی‌های TLS دست خواهد کشید. این تصمیم پس از آن اتخاذ شد که مشخص گردید شرکت، گواهی‌هایی با کلیدهای رمزنگاری بسیار ضعیف صادر کرده است که جعل آن‌ها تنها در چند میلی‌ثانیه امکان‌پذیر است.

جزئیات نقص امنیتی: کلیدهایی با امنیت نزدیک به صفر

محققان امنیتی کشف کردند که هشت گواهی واسطه صادر شده توسط این شرکت، دارای کلیدهای خصوصی بسیار ناقص هستند. در حالی که استانداردهای رمزنگاری منحنی بیضوی (NIST P-384) نیازمند سطح بسیار بالایی از تصادفی بودن (Entropy) هستند، کلیدهای صادر شده توسط eMudhra تنها بین ۳ تا ۸ بیت امنیت داشتند.

این ضعف به معنای آن است که مهاجمان می‌توانستند با استفاده از این کلیدهای ضعیف، گواهی‌های جعلی برای هر وب‌سایت، سرور ایمیل یا دستگاه اینترنت اشیاء (IoT) تولید کنند که توسط تمامی مرورگرهای اصلی و ابزارهای سیستمی مورد اعتماد باشد.

ریشه‌یابی خطا: ترکیب نقص کد و اشتباه انسانی

بررسی‌های اولیه نشان می‌دهد که این حادثه در جریان یک مراسم تولید کلید (Key Generation Ceremony) در آوریل ۲۰۲۵ رخ داده است. طبق گفته‌های مدیران شرکت، یک نقص در اسکریپت‌های مربوط به فرآیند انتقال کلیدها (Wrap/Unwrap) باعث شد که مجموعه‌ای از کلیدهای بسیار ضعیف در کنار کلیدهای اصلی و قدرتمند تولید شوند.

"خطاهای انسانی در چندین مرحله از فرآیند و نقص در کدهای مربوط به چرخه حیات کلیدها، منجر به این وضعیت بحرانی شد. ما در حال بازنگری تمامی مراسم‌های تولید کلید خود هستیم."

به دلیل شباهت نام‌گذاری این کلیدهای ضعیف با کلیدهای اصلی، کارشناسان به اشتباه از کلیدهای آسیب‌پذیر برای ایجاد درخواست‌های امضای گواهی (CSR) استفاده کرده‌اند که منجر به انتشار گسترده این گواهی‌های بی‌کیفیت در ذخیره‌های ریشه مرورگرها شد.

دلایل خروج از بازار و آینده امنیت دیجیتال

رئیس هیئت مدیره eMudhra، وی. سرینیواسان، ضمن اشاره به هزینه‌های فزاینده رعایت استانداردهای انطباق، اعلام کرد که این بخش از فعالیت‌های شرکت تنها ۱ درصد از درآمد کل آن را تشکیل می‌دهد. همچنین ظهور سرویس‌های رایگان گواهی TLS، سودآوری این حوزه را برای شرکت کاهش داده بود.

اگرچه مرورگرهای بزرگ بلافاصله پس از کشف نقص، این گواهی‌ها را مسدود کردند، اما نگرانی‌ها همچنان درباره دستگاه‌های قدیمی، سیستم‌های جاسازی‌شده (Embedded) و ابزارهای مدیریت سرور که به‌روزرسانی‌های خودکار ندارند، باقی مانده است. این حادثه بار دیگر اهمیت دقت در فرآیندهای تولید کلید و نظارت سخت‌گیرانه بر زیرساخت‌های رمزنگاری را یادآوری کرد.