کلیدهای خصوصی مرتبط با هشت گواهی واسط (Intermediate Certificates) صادر شده توسط مرجع گواهی (CA) هندی eMudhra دچار نشت شده‌اند و برنامه‌های ریشه (Root Programs) و ذخیره‌های اعتماد (Trust Stores) در سراسر جهان شروع به مسدودسازی آن‌ها کرده‌اند.
این گواهی‌ها که در آوریل ۲۰۲۵ صادر شده بودند، دارای نقص امنیتی جدی هستند. برخی از کلیدهای آسیب‌پذیر به گونه‌ای هستند که مهاجمان می‌توانند با استفاده از آن‌ها، گواهی‌های جعلی تولید کرده و هر وب‌سایتی را برای کاربران جعل (Impersonation) کنند.
واکنش مرورگرها و شرکت‌های امنیتی
در پی این کشف، شرکت‌های بزرگ فناوری اقدام به مسدودسازی این گواهی‌ها کردند:
- Google و Mozilla: در تاریخ ۱۷ اکتبر، گواهی‌ها را در مرورگرهای Chrome و Firefox مسدود کردند.
- Apple و Microsoft: به ترتیب در روزهای ۱۹ و ۲۰ اکتبر این اقدام را انجام دادند.
- Sectigo و Cloudflare: اقدامات لازم برای ابطال (Revocation) و وصله کردن (Patching) سرویس‌های خود را انجام دادند.
گوگل در توضیح این حادثه اعلام کرد که کلیدهای خصوصی این گواهی‌ها با تصادفی‌سازی (Randomness) ناکافی و آنتروپی رمزنگاری (Cryptographic Entropy) بسیار ضعیف تولید شده‌اند. این نقص به مهاجمان اجازه می‌دهد تا گواهی‌های HTTPS معتبر را برای حملات جعل هویت تولید کنند.
تحلیل فنی: بازیابی آسان کلیدها
دنیس جکسون، کارشناس Mozilla، هشدار داد که فرآیند بازیابی این کلیدها بسیار ساده و سریع است. طبق گفته وی، این کلیدها به جز آخرین بایت، تقریباً همگی صفر هستند. این ویژگی باعث می‌شود که کلیدها را بتوان تقریباً به صورت آنی از طریق الگوریتم baby-step giant-step discrete log بازیابی کرد.
بررسی‌ها نشان می‌دهد که در طول مراسم تولید کلید (Key Generation Ceremony)، نقص در اسکریپت مورد استفاده باعث ایجاد یک جفت کلید ضعیف‌تر شده است. به دلیل شباهت برچسب‌های کلیدهای اصلی و کلیدهای ضعیف، این جفت کلید اشتباهی در درخواست‌های امضای گواهی (CSR) استفاده شده است. اگرچه شواهدی از سوءاستفاده از این کلیدها در گزارش‌های شفافیت گواهی (Certificate Transparency) یافت نشده، اما ریسک حملات علیه مشتریانی که هنوز از این گواهی‌ها اعتماد دارند، بسیار بالاست.
