eMudhra sertifikatlash markazidan olingan sakkizta buzilgan raqamli sertifikat aniqlanishi kompaniyalar va xavfsizlik tadqiqotchilari orasida yuqori tayyorgarlik holatini keltirdi. Maxfiy kalitlar shunchalik zaif boʻlganki, ularni tiklab, soxta sertifikatlar chiqarish uchun ishlatish mumkin edi, bu esa halol veb-saytlar va xizmatlarni taqlid qila olardi.
Jami oltita taʼsirlangan vositachilik sertifikatlari TLS uchun ishlatilgan, bu esa HTTPS ulanishlarining asosini tashkil etadi, ikkitasi esa kodni imzolash uchun moʻljallangan edi. Mozilla, Google, Apple va Microsoft shanba kuni (17-kun) ogohlantirish oldi, shu paytdan keyin ishlab chiqaruvchilar buzilgan sertifikatlarni bloklashni boshladilar.
HTTPS foydalanuvchi haqiqatdan ham istagan saytga ulanganligini tasdiqlash uchun raqamli sertifikatlardan foydalanadi. Bu sertifikatlar brauzer tomonidan tan olinadigan shaxsni tasdiqlovchi turdagi hujjat vazifasini bajaradi va asl serverning boshqa biri bilan almashtirilishining oldini olishga yordam beradi.
Maxfiy kalitlarga kirish mavjud boʻlsa, hujumkor tizimlar tomonidan qonuniy deb qabul qilinadigan saytlar va xizmatlar uchun yolgʻon sertifikatlar yaratishi mumkin edi. Wayne nomli tadqiqotchi ushbu sakkizta kalitga kirishni namoyish etib, ulardan asosiy brauzerlar va tizimlarga javobgar kompaniyalarga yuborilgan xabarni raqamli imzolash uchun foydalangan. Mozilla maʼlumotlariga koʻra, ularning muhandislari muammo aniqlangandan biroz vaqt oʻtgach, shu kalitlarni tiklashga muvaffaq boʻlib, nosozlikni tasdiqladilar.
Biroq, bu haker har qanday internet ulanishini ushlab olishi degani emas. Ars Technica xabar berishicha, bu sertifikatlardan hujumda foydalanish uchun hali ham qurbon va xizmat oʻrtasidagi trafikni ushlab olish talab qilinadi.
Mozilla Firefoxdagi sertifikatlarni bloklashni ogohlantirishni olganidan uch soatdan kam vaqt ichida yakunlaganini maʼlum qildi. Kompaniya shuningdek, foydalanuvchilarni himoya qilishni kuchaytirish uchun Firefox 158.0.1 versiyasini chiqardi. Chrome va boshqa brauzerlar ham buzilgan sertifikatlarni rad etishni boshladilar.
Eʼlon qilingan vaqtda bir istisno mavjud edi: Windows 10dagi Microsoft Edge baʼzi zaif serverlar bilan bogʻlanishni davom ettira olardi. Microsoft bu borada soʻrovga javob berdi, ammo ushbu tizimda bloklash qachon qoʻllanilishi haqida aniqlik bermadi.
Hozirgi vaqtda soxta sertifikatlardan hujumlarda foydalanilganligi haqida jamoatchilik xabarlari yoʻq. Bunday choralar boshqa hollarda ham qoʻllanilgan; masalan, Google sertifikatlash markazining ishlashidagi muammolarni koʻrsatganidan soʻng, Chrome Entrust sertifikatlariga ishonchini toʻxtatgan edi.
Asosiy muammo hozir brauzerlar tashqarisida joylashgan. Linux tarqatmalari, ilovalar va ulangan qurilmalar yangilanishlarni olgunicha buzilgan identifikatorlarga ishonishda davom etishi mumkin. Kriptografiya muhandisi Filippo Valsorda Ars Technicaʼga, tozalash ishi Heartbleedda aniqlangan 2014-yilgi halokatli zaiflik tufayli yuzaga kelgan ish hajmidan koʻproq boʻlishi mumkinligini aytdi, chunki yangilanish talab qiladigan tizimlar xilma-xildir.
Oddiy foydalanuvchilar uchun asosiy tavsiya brauzer, operatsion tizim va ilovalarni yangi ushboshda ushlab turishdir. Signal va WhatsApp kabi xizmatlar xabar mazmunini himoya qilish uchun TLS ga tayanmaydi va shu sababli shu darajada taʼsirlanmaydi.
