شرکت مایکروسافت پس از شناسایی هشت کلید خصوصی (Private Keys) قابل بازیابی در CAهای میانی شرکت eMudhra، به‌روزرسانی‌های امنیتی اضطراری را برای ویندوز منتشر کرد. این نقص امنیتی به مهاجمان اجازه می‌داد تا گواهینامه‌های مورد اعتماد را جعل کرده یا محتوای مخرب را امضا کنند.
جزئیات فنی و دامنه اثرگذاری
مایکروسافت تصریح کرد که این مشکل مربوط به سلسله‌مراتب گواهینامه‌های eMudhra است و سیستم‌های داخلی مایکروسافت تحت تأثیر قرار نگرفته‌اند. در پاسخ به این تهدید، یک به‌روزرسانی خارج از چرخه (Out-of-band) در تاریخ ۲۶ اکتبر منتشر شد که هفت گواهینامه را از لیست اعتماد (Trust List) ویندوز حذف کرد. همچنین در ۲۷ اکتبر، همین گواهینامه‌ها از لیست اعتماد مرورگر Microsoft Edge نیز حذف شدند.
از میان کلیدهای لو رفته، شش مورد مربوط به TLS (Transport Layer Security) هستند که وظیفه حفاظت از ارتباطات با وب‌سایت‌ها و سرویس‌ها را بر عهده دارند. دو کلید دیگر مربوط به Code Signing (امضای کد) هستند که به سیستم‌ها کمک می‌کنند تا هویت ناشر نرم‌افزار را تأیید کنند.
ریسک‌های احتمالی برای سازمان‌ها
- جعل هویت سرویس‌ها: یک عامل تهدید (Threat Actor) با استفاده از کلید TLS لو رفته، می‌تواند گواهینامه‌ای برای جعل هویت یک وب‌سایت یا سرویس ایجاد کرده و ارتباطات را شنود (Intercept) کند.
- توزیع بدافزار: کلیدهای امضای کد می‌توانند باعث شوند نرم‌افزارهای مخرب به‌گونه‌ای ظاهر شوند که گویی از سوی یک ناشر مورد اعتماد منتشر شده‌اند.
اقدامات اصلاحی و توصیه‌ها
مایکروسافت ابتدا در ۲۰ اکتبر لیست گواهینامه‌های غیرمجاز (Disallowed Certificate Trust List) ویندوز را به‌روزرسانی کرد و سپس یک به‌روزرسانی CRLSet برای Edge و WebView2 اعمال نمود تا گواهینامه‌های TLS متأثر را مسدود کند. این محافظت در مرورگر به‌صورت خودکار و بدون نیاز به نصب نسخه جدید مرورگر اعمال می‌شود.
توصیه‌های کلیدی برای مدیران SOC و مهندسان امنیت:
- اطمینان حاصل کنید که به‌روزرسانی‌های Trust گواهینامه ویندوز و اجزای Edge به تمامی دستگاه‌های تحت مدیریت (Managed Devices) می‌رسند.
- سیستم‌های ویندوزی که به شبکه متصل نیستند (Disconnected Systems) نیازمند توجه ویژه هستند، زیرا مدیران باید روش جایگزینی برای به‌روزرسانی آن‌ها فراهم کنند.
- ماشین‌های مجازی Azure و Virtual Machine Scale Sets را بررسی کرده و از تصاویر (Images) به‌روز شده در Azure Marketplace استفاده کنید.
- مالکان گواهینامه باید زنجیره‌هایی (Chains) که به هفت گواهینامه حذف شده وابسته هستند را شناسایی کرده و جایگزین‌های مورد اعتماد تهیه کنند.
