Mozilla, Google და Apple-მა eMudhra-ს დაუცველი სერტიფიკატები დაბლოკეს
ინტერნეტის უსაფრთხოების სფეროში სერიოზული ინციდენტი დაფიქსირდა: სერტიფიკატების გამცემმა კომპანიამ eMudhra-მ იძულებით გააუქმა რვა შუალედური სერტიფიკატი, მას შემდეგ, რაც მკვლევრებმა მათში კრიტიკული დაუცველობა აღმოაჩინეს. პრობლემა იმდენად სერიოზული იყო, რომ კერძო გასაღებების (private keys) აღდგენა თითქმის მყისიერად იყო შესაძლებელი, რაც თავდამსხმელებს საშუალებას მისცემდა, გაეყალბებინათ სანდო ვებსაიტების ციფრული ხელმოწერები.
რა მოხდა სინამდვილეში?
უსაფრთხოების მკვლევრებმა დაადგინეს, რომ 2025 წლის აპრილში გენერირებული P-384 ტიპის კერძო გასაღებები მათემატიკურად უკიდურესად სუსტი იყო. კერძოდ, მათი მნიშვნელობები 256-ზე ნაკლები იყო, რაც იმას ნიშნავდა, რომ ნებისმიერ მსურველს შეეძლო გასაღების გამოცნობა სულ რაღაც 256 მცდელობით. ერთ-ერთმა მკვლევარმა, ფსევდონიმით Flüpke, GitHub-ზე საჯაროდ გამოაქვეყნა კიდეც ერთ-ერთი ასეთი გასაღები, რომლის მნიშვნელობაც სულ რაღაც 4-ს შეადგენდა, რითაც დაამტკიცა, რომ სისტემა სრულიად დაუცველი იყო.
eMudhra-ს განცხადებით, ეს იყო ტექნიკური შეცდომა სკრიპტში, რომელიც სერტიფიკატების შესაქმნელად გამოიყენებოდა. კომპანიის თქმით, შეცდომის გამო გენერირდა სუსტი გასაღებების ნაკრები, რომლებიც შეცდომით აირჩიეს სერტიფიკატების დასამოწმებლად. მიუხედავად იმისა, რომ კომპანია ამტკიცებს, რომ დაუცველი სერტიფიკატების უმეტესობა არასდროს გამოყენებულა რეალურ გარემოში და არ არსებობს მტკიცებულება მათი ბოროტად გამოყენების შესახებ, პოტენციური საფრთხე 2025 წლის აპრილიდან არსებობდა.
ვინ არის დაცული?
Mozilla-მ, Google-მა და Apple-მა რეაგირება სწრაფად მოახდინეს. Mozilla-მ დაუცველი სერტიფიკატები Firefox-ის OneCRL სისტემის მეშვეობით 17 ოქტომბერს დაბლოკა, რამაც მომხმარებლები დამატებითი განახლებების გარეშე დაიცვა. Google Chrome-მა ექვსი ყველაზე საშიში შუალედური სერტიფიკატი იმავე დღეს დაბლოკა, ხოლო Apple-მა დაცვის მექანიზმები 19 ოქტომბერს დაამატა.
თუმცა, პრობლემა შეიძლება შეეხოს პროგრამულ უზრუნველყოფას, რომელიც საკუთარ სერტიფიკატების საცავს იყენებს ან არ ამოწმებს სერტიფიკატების გაუქმების სტატუსს. მაგალითად, Go-ს დეველოპერულმა გუნდმა უკვე გამოუშვა განახლებები CVE-2026-111943 დაუცველობის აღმოსაფხვრელად. ასევე, საყურადღებოა macOS-ის ჩაშენებული /usr/bin/curl უტილიტა, რომელიც შესაძლოა კვლავ ენდობოდეს კომპრომეტირებულ სერტიფიკატებს.
რას ნიშნავს ეს ქართველი მომხმარებლებისთვის?
თუ თქვენ იყენებთ თანამედროვე ვებ-ბრაუზერებს, როგორიცაა Firefox ან Chrome, უმეტეს შემთხვევაში დაცული ხართ, რადგან მათ ავტომატური განახლებები უკვე მიიღეს. თუმცა, სისტემურმა ადმინისტრატორებმა და დეველოპერებმა, რომლებიც სერვერულ ინფრასტრუქტურას მართავენ, აუცილებლად უნდა გადაამოწმონ თავიანთი სისტემები. Mozilla-ს კრიპტოგრაფიის ინჟინერმა დენის ჯექსონმა გამოაქვეყნა სპეციალური გვერდი, სადაც ჩამოთვლილია დაზარალებული პროგრამული უზრუნველყოფა და შესაბამისი უსაფრთხოების განახლებები.
საბოლოო ჯამში, ეს შემთხვევა შეხსენებაა იმისა, თუ რამდენად კრიტიკულია სერტიფიკატების გამცემი ორგანოების გამჭვირვალობა და ტექნიკური სიზუსტე. ნებისმიერი, თუნდაც მცირე შეცდომა კრიპტოგრაფიულ გენერაციაში, შეიძლება გახდეს მთელი ვებ-უსაფრთხოების რგოლის რღვევის მიზეზი. გირჩევთ, დარწმუნდეთ, რომ თქვენი სამუშაო კომპიუტერები და სერვერები განახლებულია უახლეს ვერსიებამდე.