חברת eMudhra ביטלה שמונה רשויות אישורים (CA) ביניים נוספות, שרק ימים קודם הצהירה שאינן מושפעות מאירוע פריצת המפתחות של אוקטובר. במקביל, יצרני דפדפנים ומערכות הפעלה מצמצמים אמון בשורשי החברה, ויש תאריכים קרובים שכדאי להכיר.
הפרטים
לפי דיווח החברה, באירוע של אוקטובר שורה אחת בסקריפט פנימי בפייתון קיצרה את המפתחות הפרטיים מסוג ECDSA של שמונה רשויות ביניים לבייט אחד, ולכן הן בוטלו. השמונה שבוטלו כעת משתמשות במפתחות RSA: החברה מסכמת שאינה יכולה להראות שהמפתחות טופלו כנדרש בנהלים שלה, אם כי לדבריה הם לא נחלשו והחתימות עדיין מתאמתות. הביטול נעשה בסיבת cessationOfOperation ולא keyCompromise, דבר שעורר תהיות בדיון הציבורי סביב האירוע.
שש מהרשויות מנפיקות תעודות TLS ושתיים תעודות חתימת קוד. החברה מפרטת 195 תעודות מושפעות, ואומרת שכל המחזיקים עברו לתעודות חדשות ושאינה מכירה ניצול לרעה. הסיכון התיאורטי הוא התחזות לאתרים; דפדפנים שאוכפים Certificate Transparency היו מזהים תעודות כאלה, אך לא ידוע אם נעשה שימוש מול תוכנות שאינן בודקות זאת.
לפי הדיווח, מיקרוסופט מתכננת להסיר את עשרת השורשים הנותרים של החברה החל מ-16 בנובמבר; Chrome ו-Firefox לא יאמינו לתעודות G1 שיונפקו אחרי אותו תאריך; ואפל תפסיק לתת אמון בכל תעודות G1 ב-30 בנובמבר.
נקודות לשים לב
- בדוק אם תעודות בסביבה שלך משורשרות ל-eMudhra / emSign, דרך רשימת התעודות של החברה או יומני Certificate Transparency.
- ודא שהוחלפו תעודות שהונפקו מהרשויות שבוטלו, ותכנן החלפה של תעודות מהיררכיית G1 לפני 16 ו-30 בנובמבר.
- אם אתה מסתמך על כלי שורת פקודה ב-macOS או על הקובץ
/etc/ssl/cert.pem, בדוק חיבורים לאתרים רלוונטיים: עדכוני מערכת אחרונים מסירים משם חמישה שורשים וחיבורים עלולים להיכשל. - אל תסיק שנגרם ניצול בפועל: החברה מדווחת שאינה מכירה כזה, אך הטענה לא נבדקה באופן עצמאי.
מקורות: The Hacker News · Mozilla Bugzilla
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
