امتناع شرکت eMudhra از پاسخ به موزیلا پس از هک کلیدهای خصوصی؛ توجیه با فشار شبکه‌های اجتماعی — eMudhra ignored Mozilla Root investigation deadline; blames social media
خلاصه
شرکت eMudhra به دلیل نقص بحرانی در تولید کلیدهای بیضوی و لو رفتن کلیدهای واسطه، مهلت تحقیقات موزیلا را نادیده گرفت. این شرکت، فشار سنگین شبکه‌های اجتماعی و سرمایه‌گذاران را دلیل عدم پاسخگویی به موقع اعلام کرد که نگرانی‌های جدی امنیتی در اکوسیستم وب به همراه داشته است.
زمینه و واقعه اصلی
ماجرای امنیتی اخیر مربوط به شرکت eMudhra به یک بحران جدی در زیرساخت کلید عمومی (PKI) تبدیل شده است. گزارش‌های اولیه نشان داد که کلیدهای خصوصی ۸ گواهی‌نامه واسطه (Intermediate Certificates) متعلق به این شرکت دچار نقص و سازش‌پذیری (Compromise) شده‌اند. این موضوع ابتدا توسط یکی از پژوهشگران و از طریق برنامه‌های روت گوگل کروم و موزیلا افشا شد. سرعت عمل موزیلا در مسدودسازی این گواهی‌ها در مرورگر فایرفاکس بالا بود، اما ابعاد فنی فاجعه فراتر از یک ابطال ساده گواهی‌نامه است.
جزئیات فنی و نقص فاحش در تولید کلید
بررسی‌های فنی بعدی روی گواهی‌نامه‌های آسیب‌دیده ابعاد تکان‌دهنده‌ای را آشکار کرد. کلیدهای خصوصی آسیب‌دیده از نوع منحنی بیضوی P-384 بودند که در فرآیند تولید کلید توسط eMudhra دچار نقص پایه‌ای شدند.
- کلیدهای خصوصی معتبر در الگوریتم‌های رمزنگاری اعداد تصادفی بزرگی هستند.
- در بررسی ۸ کلید معیوب مشخص شد که تمامی آن‌ها اعدادی بسیار کوچک (کمتر از ۲۵۶) بوده‌اند.
- عملاً کلیدهای خصوصی چیزی شبیه به دنباله‌ای از صفرها در بایت‌های پایانی بودند که با الگوریتم‌های ساده‌ای مانند
baby-step giant-stepیا حتی حدس زدن ساده در کسری از ثانیه قابل بازیابی بودند. - موزیلا و سایر تیم‌های امنیتی توانستند بدون هیچ راهنمایی از سوی شرکت، این کلیدها را به سادگی استخراج کنند.
این یعنی هر فردی با دانش فنی بسیار سطح پایین می‌توانست کلیدهای امضای این گواهی‌نامه‌ها را به دست بیاورد و ترافیک یا هویت‌ها را به خطر بیندازد.
واکنش eMudhra و حاشیه‌های هکرنیوز
شرکت eMudhra علاوه بر ابطال گواهی‌نامه‌های آسیب‌دیده و درگیر کردن شرکت Sectigo به عنوان صادرکننده متقابل (Cross-signer)، در پاسخ به موزیلا و در روند باگ‌زیلا (Bugzilla) دچار تأخیر و وقت‌کشی شد. این شرکت در دفاع از خود ادعا کرد که بررسی‌های فنی عمیق به دلیل فشار شدید رسانه‌های اجتماعی، تحلیل‌گران و سرمایه‌گذاران عملاً غیرممکن شده است.
جامعه توسعه‌دهندگان در Hacker News واکنش‌های متفاوتی به این توجیه نشان دادند. در حالی که برخی کاربران فشار رسانه‌ای را برای یک شرکت تجاری سنگین می‌دانند، مهندسان امنیت معتقدند که وقتی زیرساخت اعتماد اینترنت (Web PKI) به دلیل سهل‌انگاری در تولید اعداد تصادفی فرو می‌ریزد، بهانه‌آوردن برای تاخیر در پاسخ به تیم‌های امنیتی مرورگرها قابل پذیرش نیست. این حوادث بار دیگر ضعف شرکت‌ها در نگهداری استانداردهای رمزنگاری مانند انطباق با معیارهای سخت‌گیرانه FIPS را برجسته کرده است.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل