الملخص / قراءة المصدر ↗
- جهة الاعتماد (CA) هي مؤسسة من أعلى مستوى تثق بها المتصفحات والأجهزة افتراضيًا. وهي نقطة البداية للتحقق من أن شهادة HTTPS لموقع ما أصلية، لذلك إذا تعرض المفتاح الخاص بهذه المؤسسة للكشف، يمكن إنشاء شهادات مزيفة تبدو طبيعية.
- وفقًا للمصدر، أنشأت eMudhra مفتاح سلطة وسيطة ضعيفًا جدًا بسبب خلل في سكربت توليد المفاتيح، وتم اعتماد هذا المفتاح خطأً في التشغيل الفعلي. ويذكر المصدر أن 47 بايت العليا كانت 0، مما جعله فعليًا مفتاحًا بمستوى 1 بايت. وتستند هذه المعلومة إلى منشور المحلل Scott Helme.
- تفسر الكاتبة أنه مع مفتاح بهذا الضعف، قد يتمكن المهاجم من استعادة مفتاح التوقيع وإنشاء شهادات مزورة، يمكن استخدامها في هجمات الوسيط مثل تلك التي تحدث على شبكات Wi-Fi العامة. ولا يؤكد المصدر وقوع أي حالة استغلال فعلية.
- قالت eMudhra إنها ألغت الجهة الوسيطة المرتبطة خلال 14 ساعة من اكتشاف المشكلة، وإنه لم تُصدر أي شهادات نهائية، ولم يحدث تسريب للبيانات. وأعلنت لاحقًا انسحابها من أعمال شهادات TLS العالمية، وتنتقد الكاتبة هذا الرد لأنه يفتقر إلى الاعتراف بالمسؤولية.