متصفحات الكبرى تحظر شهادات موثوقة هندية إثر ثغرة في المفاتيح الخاصة

بدأت برامج الجذور ومتاجر الثقة في مختلف المتصفحات وأنظمة التشغيل العالمية بحظر ثماني شهادات وسيطة صادرة عن هيئة إصدار الشهادات الهندية (eMudhra)، وذلك بعد تأكيد حصول تسريب أو ضعف حاد في المفاتيح الخاصة المرتبطة بها يتيح إمكانية استرجاعها بسهولة.

أصدرت الشهادات المعنية في أبريل 2025، وأوضحت شركة جوجل أن المفاتيح الخاصة وُلّدت بقدر غير كافٍ من العشوائية والانتروبيا التشفيرية الضعيفة، ما يسمح لأي شخص بتزوير شهادات HTTPS موثوقة وانتحال صفة أي موقع إلكتروني ضد العملاء الذين لم يزيلوا الثقة في تلك الشهادات بعد. واستجابة لذلك، سارعت شركات كبرى مثل موزيلا وجوجل لحظر الشهادات في متصفحي فايرفوكس كروم منتصف أكتوبر، وتبعتها أبل ومايكروسوفت في الأيام اللاحقة، فضلاً عن إجراءات مماثلة اتخذتها سيكتيغو (Sectigo) وكلودفلير (Cloudflare).

سهولة وسرعة استرجاع المفاتيح الضعيفة

نشر الباحث دينيس جاكسون من موزيلا أداة للتحقق مما إذا كانت الأنظمة ما زالت تثق في الشهادات المخترقة، موضحاً أن المفاتيح الخاصة وُلّدت بطريقة خاطئة تجعلها مكوّنة من أصفار باستثناء البايت الأخير. وأكد جاكسون أن عدة أفراد تمكنوا من استرجاع المفاتيح بشكل مستقل وبسرعة فائقة باستخدام خوارزمية اللوغاريتم المنفصل (baby-step giant-step).

من جانبها، أوضحت هيئة eMudhra أن الخلل يعود إلى خطأ في البرنامج النصي المستخدم أثناء مراسم توليد المفاتيح، مما أدى إلى إنشاء زوج مفاتيح ثانٍ وأضعف جرى استخدامه عن طريق الخطأ لإنشاء طلبات توقيع الشهادات نظراً لتشابه تسمياته مع المفاتيح الأصلية. وأشارت الشركة إلى أن هذه المُصدرات أُنشئت في الأصل لتصديرها إلى مراكز البيانات في الولايات المتحدة وأوروبا لحل مشكلات السيادة الرقمية للعملاء، مؤكدة أنها لم تكن تعمل تشغيلياً في الإنتاج باستثناء حالة واحدة فقط.

ما الذي يتغير عملياً؟

رغم عدم وجود أدلة في سجلات شفافية الشهادات (CT) على استخدام هذه المفاتيح بشكل ضار قبل إلغائها، فإن بعض العملاء قد يحتاجون إلى تحديثات برمجية لضمان عدم بقاء تلك الشهادات الوسيطة موثوقة لديهم. وتجري eMudhra حالياً مراجعات أعمق لثغرات الشيفرات وفجوات العمليات، متعهدة بإعادة التحقق من كل مراسم مفاتيح قامت بها خلال الأسابيع القادمة.