شركات تقنية تتحرك لحظر 8 شهادات من eMudhra بسبب عيب في المفتاح

تتحرك شركات تقنية كبرى لحظر ثماني شهادات رقمية أصدرتها جهة إصدار الشهادات eMudhra بعد خلل في طريقة توليد مفاتيحها الخاصة، وفقاً لتقرير نشرته Cointelegraph. وعنى هذا الضعف أنه كان بالإمكان تخمين المفاتيح، ما سمح لشخص بتزوير شهادات HTTPS لأي موقع إلكتروني.

شهادات HTTPS هي ما تستخدمه المتصفحات وأنظمة التشغيل للتأكد من أن الموقع هو من يدّعي أنه عليه. وإذا تمكن مهاجم من إنتاج شهادة صالحة لنطاق لا يتحكم به، فيمكنه انتحال هوية ذلك الموقع واعتراض حركة المرور أو التلاعب بها رغم اعتقاد المستخدمين أنها مشفرة وموثوقة.

لماذا يهم الإلغاء

حظر الشهادات هو العلاج المعتاد: إذ تحتفظ شركات المتصفحات وأنظمة التشغيل بمخازن الثقة وقوائم الإلغاء، ويمكنها رفض الشهادات الصادرة بموجب مفتاح مخترق أو قابل للتوقع. وتُضاف الشهادات المتأثرة إلى آليات الحظر هذه، مما يحد من النافذة الزمنية التي كان يمكن فيها قبول شهادات مزورة.

تُذكّر هذه الحادثة بمدى اعتماد أمن الويب على مجموعة صغيرة نسبياً من جهات إصدار الشهادات. وقد دفعت حالات إصدار خاطئ سابقة وحوادث اختراق مفاتيح المورّدين إلى عدم الثقة بجهات إصدار الشهادات بالكامل، وهو إجراء يمكن أن يعطّل كل موقع يعتمد على الجهة المتأثرة. وبالنسبة لمستخدمي العملات المشفرة، فإن التعرض العملي هو نفسه بالنسبة لأي خدمة ويب: يمكن لشهادة مزورة أن تجعل صفحة تصيّد أو صفحة هجوم رجل في المنتصف تبدو شرعية، لذا يظل التحقق من العناوين عبر قنوات مستقلة مفيداً.