أعلنت شركة eMudhra، وهي جهة معتمدة لإصدار شهادات التوثيق الرقمي (Certificate Authority)، عن قرارها بالانسحاب الكامل من سوق شهادات طبقة المقابس الآمنة (SSL/TLS) عالمياً. يأتي هذا القرار بعد أيام قليلة من كشف باحثين أمنيين عن ثغرة فادحة في ثماني شهادات وسيطة أصدرتها الشركة، حيث كانت مفاتيح التشفير الخاصة بها ضعيفة لدرجة مذهلة، مما جعلها عرضة للاختراق في أجزاء من الثانية.
تفاصيل الثغرة الأمنية
وفقاً للتقارير التقنية، كان من المفترض أن تحتوي مفاتيح التشفير (ECC) التي أصدرتها الشركة على مستوى عالٍ من التعقيد (384 بت)، إلا أن المفاتيح المكتشفة تراوحت قوتها بين 3 و8 بت فقط. هذا يعني أن عدد الاحتمالات الممكنة للمفاتيح كان ضئيلاً جداً، مما سمح لأي طرف بإنشاء شهادات ويب موثوقة لأي موقع أو خادم بريد إلكتروني، وهو ما يمثل تهديداً أمنياً جسيماً للبنية التحتية للإنترنت.
لماذا يهم هذا الخبر؟
تكمن خطورة هذه الحادثة في أن الشهادات الصادرة عن eMudhra كانت تحظى بثقة المتصفحات الكبرى وأنظمة التشغيل. وبمجرد اكتشاف الثغرة، اضطرت شركات المتصفحات إلى حظر هذه الشهادات فوراً. ومع ذلك، تظل الأجهزة المدمجة (IoT)، وحاويات Docker، والأنظمة القديمة التي لا تتلقى تحديثات دورية، عرضة للخطر لفترات طويلة، حيث قد لا تتمكن من تحديث قوائم الشهادات الموثوقة لديها.
أخطاء بشرية وتقنية في "حفل توليد المفاتيح"
أوضحت eMudhra أن الخلل وقع خلال "حفل توليد المفاتيح" (Key Generation Ceremony) في أبريل 2025. وأشارت الشركة إلى وجود خطأ في البرمجيات المستخدمة أدى إلى إنشاء مجموعتين من المفاتيح: مجموعة قوية وأخرى ضعيفة. وبسبب خطأ بشري في تحديد التسميات، تم استخدام المفاتيح الضعيفة لإصدار الشهادات ونشرها في مخازن الجذور (Root Stores). كما اعترفت الشركة بأنها حاولت إعادة توقيع قوائم إبطال الشهادات (CRL) باستخدام المفاتيح المعيبة بعد فشل التوقيع بالمفاتيح الأصلية، دون أن تبادر بالتحقيق الجذري في سبب الفشل.
دوافع الانسحاب
برر رئيس مجلس إدارة الشركة، في. سرينيفاسان، قرار الانسحاب بارتفاع تكاليف الامتثال التنظيمي، وضعف العائد على الاستثمار نظراً لانتشار الشهادات المجانية، بالإضافة إلى الضغوط الإعلامية والتدقيق المكثف الذي أعقب الحادثة، والذي وصفته الشركة بأنه "غير متناسب" مع حجم هذا النشاط في محفظة أعمالها.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.