פרצת אבטחה חמורה בחברת eMudhra מהודו חשפה שמונה תעודות אבטחה שהמפתחות שלהן היו חלשים מאוד. תעודות כאלה משמשות לאימות זהותם של אתרים ושירותים באינטרנט והפרצה עלולה לסכן שירותי VPN, דפדפנים, מערכות הפעלה ומכשירים שמחוברים לרשת, ולדרוש תיקון מורכב במיוחד כדי למנוע מתקפות נוספות.
עד למקרה הזה, תעודות האבטחה של eMudhra נחשבו לאמינות על ידי חברות גדולות, כמו מוזילה (Mozilla), מיקרוסופט (Microsoft), אפל (Apple) וגוגל כרום (Google Chrome), וגם על ידי שירותים נוספים כמו Cloudflare. אלא שבבדיקה התגלה ששמונה המפתחות הפרטיים ששימשו את התעודות היו חלשים בצורה קיצונית – שלושתם היו באורך של 3 עד 8 ביטים בלבד, במקום 384 ביטים במפתח הצפנה מהסוג שהוזכר בדיווחים.
מפני שהמפתחות היו חלשים כל כך, תוקפים יכלו לגלות אותם בקלות, בלי צורך בכוח מחשוב גדול. ברגע שיש להם את המפתחות, הם יכולים ליצור תעודות אבטחה מזויפות שייראו אמינות, להתחזות לאתרים ולשרתים אמיתיים ואפילו ליירט את המידע שעובר בין המשתמשים לאותם שרתים. במילים פשוטות, המשתמש עלול לחשוב שהוא גולש באתר מאובטח, בזמן שהתוקף מצליח להתערב בתקשורת ולחשוף את המידע והנתונים שהמשתמש שולח ומקבל.
הפרצה טופלה בדפדפנים, אך מכשירים אחרים עדיין בסיכון
מוזילה, גוגל ואפל כבר חסמו את תעודות האבטחה שנפגעו בדפדפנים שלהן, אבל הבעיה לא בהכרח נפתרה בכל מקום. מומחה אבטחה ממוזילה בשם דניס ג'קסון (Dennis Jackson), הזהיר שכלי מסוים ב- macOS עדיין עלול לקבל את התעודות האלה כאמינות, מכיוון שהוא לא בודק אם הן בוטלו. המשמעות של זה היא שגם אחרי שהחברות חסמו את התעודות בדפדפנים שלהן, יש מערכות שעדיין עלולות לסמוך עליהן ולאפשר לתוקפים לנצל את הפרצה.
חברת eMudhra ביטלה את שמונה תעודות האבטחה שנפגעו, וטענה שהבעיה נגרמה בגלל סקריפט אוטומטי ששימש ליצירת התעודות. אבל גם אחרי הביטול, לא בטוח שכל המערכות שמחוברות לאינטרנט יזהו מיד שהתעודות הללו כבר אינן בטוחות לשימוש.
אחד החששות המרכזיים כרגע נוגע לשירותי VPN, שמאפשרים ליצור חיבור מאובטח לאינטרנט. במדינות שבהן ממשלות מנסות לעקוב אחר פעילות ברשת או ליירט מידע שעובר בה, תוקפים עלולים לנצל את הפרצה כדי להתחזות לשרתים ולנסות לקרוא את המידע שעובר ביניהם לבין המשתמשים.
הסכנה לא מסתכמת רק בשירותי VPN: גם מכשירי IoT, כמו מכשירים חכמים שמחוברים לאינטרנט, שרתים שלא מקבלים עדכוני אבטחה ורכיבים נוספים ברשת עלולים להיות חשופים לניצול הפרצה.
