شرکت هندی eMudhra در پی کشف این موضوع که کلیدهای خصوصی ۸ مرجع صدور گواهینامه (Intermediate CA) آن به راحتی قابل حدس زدن هستند، تصمیم گرفته است از بازار جهانی گواهینامه‌های SSL/TLS خارج شود.
جزئیات نقص امنیتی
این آسیب‌پذیری ابتدا در اکتبر ۲۰۲۶ توسط پژوهشگری به نام Wayne گزارش شد. در ادامه، Scott Helme در یک تحلیل عمومی نشان داد که تمامی این ۸ کلید را می‌توان در کمتر از یک ثانیه بازیابی کرد. دلیل این ضعف این بود که کلیدها به جای استفاده از مقادیر بزرگ و غیرقابل پیش‌بینی (که برای امنیت رمزنگاری ضروری است)، از اعداد کوچک تولید شده بودند.
این ۸ مرجع شامل موارد زیر است:
- ۶ مرجع صدور TLS: شامل گواهینامه‌های DV، OV و EV (در دو نسل مختلف).
- ۲ مرجع امضای کد (Code-signing CA).
تمامی این موارد در آپریل ۲۰۲۵ ایجاد شده و در می ۲۰۲۵ توسط Root Service شرکت Sectigo امضا شده بودند.
واکنش مرورگرها و حذف اعتماد
مرورگر Mozilla از طریق OneCRL این مراجع را مسدود کرد و سپس اعتماد به emSign ECC Root CA – G3 (ریشه اصلی امضاکننده این گواهینامه‌ها) را لغو نمود. گوگل نیز تاریخ ۲۷ اکتبر را برای حذف این گواهینامه‌ها از Root Store مرورگر Chrome تعیین کرده است.
اگرچه eMudhra ادعا می‌کند که ۷ مورد از این ۸ مرجع هرگز در محیط عملیاتی (Production) استفاده نشده‌اند و مورد باقی‌مانده نیز هیچ گواهینامه‌ای صادر نکرده است، اما این اتفاق باعث ایجاد تردیدهای جدی در مورد فرآیندهای مدیریت گواهینامه این شرکت شده است.
تأثیرات فراتر از مرورگرها (محیط Java)
این حادثه برای زیرساخت‌هایی که از Trust Storeهای مجزا استفاده می‌کنند، مانند Java keystores، Load Balancerها و پیکربندی‌های mutual TLS خطرناک است. از آنجایی که Java به طور پیش‌فرض وضعیت ابطال گواهینامه (Certificate Revocation) را بررسی نمی‌کند، محیط‌های به‌روزرسانی نشده ممکن است همچنان گواهینامه‌های جعلی صادر شده با این کلیدها را بپذیرند.
در پاسخ به این تهدید، شرکت Azul نسخه‌های به‌روزرسانی شده‌ای از Azul Zulu Builds of OpenJDK و Azul Prime را منتشر کرده است که این ۸ گواهینامه آسیب‌دیده را در Blocklist محیط زمان اجرای Java قرار می‌دهد.
توصیه‌های امنیتی
به تیم‌های امنیتی و مدیران SOC توصیه می‌شود:
- وابستگی‌های گواهینامه را در تمامی لایه‌های زیرساخت (فراتر از مرورگرها) بررسی کنند.
- به‌روزرسانی‌های مربوط به Vendorها (به‌ویژه در محیط‌های Java) را سریعاً اعمال کنند.
- در صورت نیاز، سرویس‌های حیاتی را به یک مرجع صدور گواهینامه (CA) مستقل و مورد اعتماد منتقل نمایند.
