Osiem certyfikatów podważa zaufanie do stron internetowych. Administratorzy mają problem

Administratorzy systemów mają poważny problem związany z bezpieczeństwem infrastruktury internetowej. Udostępniono bowiem osiem certyfikatów pośrednich wystawionych przez eMudhra, które mogą umożliwiać cyberprzestępcom podszywanie się pod witryny oraz certyfikowanie złośliwego oprogramowania.

Problem może dotyczyć ogromnej liczby urządzeń i programów korzystających z mechanizmów weryfikacji certyfikatów. Źródłem jest osiem certyfikatów pośrednich wydanych przez eMudhra. Sześć z nich dotyczyło infrastruktury urzędów certyfikacji, natomiast dwa służyły do podpisywania kodu. Co gorsza klucze prywatne miały długość zaledwie jednego bajtu. Taki klucz może przyjmować jedynie 256 różnych wartości, od 0 do 255.

W praktyce sprawdzenie wszystkich możliwych kombinacji zajmuje ułamek sekundy. Atakujący mogą więc bardzo łatwo odtworzyć klucze, które powinny pozostawać tajne. Nie wiadomo jeszcze, dlaczego certyfikaty zostały wydane z tak słabymi zabezpieczeniami. Sprawa ta jest obecnie badana.

Zagrożone mogą być strony internetowe i aplikacje

Sytuacja jest poważna, ponieważ cyberprzestępcy mogą dzięki temu podszywać się pod strony internetowe, wykorzystując do tego znane domeny np. apple.com, amazon.com czy bankofamerica.com. Taki atak może zostać przeprowadzony w niezaufanej sieci Wi-Fi, sieci firmowej albo przez podmiot kontrolujący fragment infrastruktury, przez którą przechodzi połączenie.

Udostępniono osiem certyfikatów pośrednich wystawionych przez eMudhra, które mogą umożliwiać cyberprzestępcom podszywanie się pod witryny oraz certyfikowanie złośliwego oprogramowania.

Jeżeli system nadal ufa wadliwym certyfikatom, może nie rozpoznać próby podszycia się pod prawdziwą stronę. Osobnym zagrożeniem są dwa certyfikaty przeznaczone do podpisywania kodu. Mogą one pozwolić na przedstawienie złośliwego programu jako aplikacji pochodzącej od zaufanej firmy, na przykład Microsoftu lub Google.

Aktualizacji może wymagać ogromna liczba urządzeń

Zagrożone są komputery, serwery, smartfony, tablety, routery, maszyny wirtualne oraz kontenery Docker. Aktualizacji mogą wymagać również przeglądarki internetowe, aplikacje wykorzystujące wbudowane komponenty przeglądarkowe, narzędzia takie jak curl oraz środowiska programistyczne i biblioteki używane przez Python, Go, Node.js czy Rust.

Szczególnie trudna może okazać się sytuacja starszych routerów, komputerów i urządzeń IoT, które nie otrzymują już aktualizacji.