eMudra, sertifikavimo institucija, išdavusi aštuonis tarpinius TLS sertifikatus, kurių raktai buvo tokie silpni, kad bet kas galėjo pagaminti sertifikatus bet kuriai svetainei ar pašto serveriui (vieno iš jų privatusis šifravimo raktas buvo vos 4), pranešė pasitraukianti iš šio verslo.
Paaiškinimas: Sertifikavimo institucija yra organizacija, kuri patvirtina, kad svetainė ar serveris tikrai priklauso tam, kuo prisistato, ir išduoda tai liudijančius skaitmeninius sertifikatus. Naršyklės šiomis institucijomis pasitiki iš anksto, todėl jų klaidos kelia pavojų visam saugiam ryšiui internete.
Indijoje įsikūrusios bendrovės eMudhra Limited valdybos pirmininkas V. Srinivasan nurodė didėjančias atitikties reikalavimų sąnaudas ir sudėtingumą, o pats šis verslas duoda vos 1 % bendrovės pajamų. Jis taip pat teigė, kad atsiradus organizacijų, kurios TLS sertifikatus teikia nemokamai, investicijų grąža, palyginti su kitais bendrovės produktais ir paslaugomis, dar labiau sumažėjo.
Durys už jūsų tegul užsidaro
„Tačiau socialinėje žiniasklaidoje šį incidentą sustiprinęs aidas sukėlė dėmesį, kuris neproporcingas SSL/TLS vietai bendrovės versle“, – ketvirtadienio pranešime tęsė bendrovė. „Atsižvelgusi į tai, po išsamių svarstymų bendrovės valdyba padarė išvadą, kad pasitraukimas iš pasaulinio SSL/TLS verslo yra teisingas sprendimas eMudhra ir jos akcininkų atžvilgiu.“
Pranešimas pasirodė praėjus dviem dienoms po to, kai tyrėjai atskleidė, jog eMudhra išdavė aštuonis sertifikatus, kurių privatieji raktai buvo tokie ydingi, kad juos atrasti buvo nesunku. Bet kas, skyręs tam laiko (o jis matuojamas milisekundėmis), galėjo juos nulaužti ir panaudoti TLS sertifikatams generuoti. Tokiais sertifikatais pasitikėtų visos pagrindinės naršyklės, taip pat neįvardijamas skaičius pašto serverių, daiktų interneto įrenginių, Docker konteinerių, užmirštų Linux kompiuterių ir neprižiūrimų komandinės eilutės įrankių, kurie kartu pateikia savo šakninių sertifikatų kopiją.
NIST P-384 elipsinės kreivės kriptografijos privatieji raktai, naudojami eMudhra išduotuose sertifikatuose, turėtų turėti maždaug 384 bitus entropijos, tačiau aštuonių pažeistų sertifikatų raktų dydis svyravo nuo 3 iki 8 bitų. Kitaip tariant, vietoje 2 (116 skaitmenų skaičiaus) galimų raktų variantų stipriausias iš ydingų raktų turėjo daugiausia vos 256. Privatieji raktai buvo 4, 56, 66, 115, 155, 156, 230, 237.
Paaiškinimas: Entropija kriptografijoje rodo, kiek atsitiktinumo yra rakte: kuo jos daugiau, tuo sunkiau raktą atspėti. Kai atsitiktinumo beveik nėra, raktą galima surasti perrinkus visas galimybes.
Naršyklių kūrėjai sertifikatus, išduotus naudojant šiuos tarpinius sertifikatus, užblokavo per dieną ar dvi po to, kai problema buvo aptikta. eMudhra beveik neabejotinai susidurtų su tuo, kad CA/Browser forumas, visos pramonės grupė, nustatanti taisykles dėl įtraukimo į TLS sertifikatų programą, atimtų jos sertifikavimo institucijos statusą.
Kas nutiko? Dalinis paaiškinimas
Trečiadienį eMudhra pateikė trumpą nesėkmės paaiškinimą. Sertifikatai buvo „sukurti pagal eMudhra ECC šakninį sertifikatą 2025 m. balandžio 30 d. vykusioje raktų generavimo ceremonijoje (Key Generation Ceremony, KGC), naudojant FIPS 140-2 3 lygio aparatinius saugumo modulius (HSM)“, teigė bendrovė. „Dėl KGC klaidos rakto įpakavimo/išpakavimo žingsnyje greta pradinių stiprių raktų atsirado antras silpnų raktų rinkinys. Į naršyklių šakninių sertifikatų saugyklas buvo paskelbti būtent silpni raktai. eMudhra stengiasi nustatyti pagrindinę priežastį.“
HSM yra specialūs įrenginiai raktams ir kitiems itin jautriems duomenims saugoti. Paprastai jie atskiriami nuo didžiosios tinklo dalies, kad nebūtų nutekėjimo. Įpakavimas ir išpakavimas (angl. wrapping ir unwrapping) – tai procesas, vykstantis raktus perkeliant iš vieno HSM į kitą. Prieš perdavimą raktą saugantis HSM jį įpakuoja į atskirą raktą. Kai užšifruotas raktas perkeliamas į naują HSM, šis raktą išpakuoja.
Mozilla „Bugzilla“ forumo diskusijoje eMudhra pateikė daugiau informacijos. Be kita ko, bendrovė nurodė:
Atrodo, kad KGC scenarijuje, naudotame būtent tą dieną šiems ECC išduotojams sukurti, buvo klaida. Kalbant apie šiuos ECC raktus, KGC peržiūra, kodo vertinimas ir HSM raktų apžvalga kol kas rodo, kad: a) pradinis ECC raktų rinkinys buvo sukurtas modulyje, kaip ir numatyta; b) į įprastą KGC procedūrą buvo įtrauktas patvirtintas nukrypimas, skirtas išbandyti įpakavimą/išpakavimą, nes šiuo atveju raktai buvo skirti eksportuoti; c) dėl kodo klaidos modulyje buvo sukurta antra, silpnesnė raktų pora; d) ši antra, silpnesnių raktų pora per klaidą (nes raktų žymos buvo panašios) buvo panaudota csr [sertifikato pasirašymo užklausai] sukurti ir pasirašyta bendrovės šakninio sertifikato; e) šių silpnesnių raktų CSR taip pat buvo nusiųsta [kitai sertifikavimo institucijai] Sectigo kryžminiam pasirašymui (bendrovė patikrino į Sectigo nusiųstus failus).
Be to, eMudhra nurodė:
CRL (atšauktų sertifikatų sąrašai) buvo pasirašyti originaliais privačiaisiais raktais (kurie turėjo būti teisingi raktai su tinkama entropija), tačiau kadangi dėl to atsirado neteisingi parašai, jie buvo pasirašyti iš naujo ydingais raktais. Keliuose proceso žingsniuose buvo padaryta žmogiškųjų klaidų, dėl kurių šios KGC rakto gyvavimo ciklo vientisumo procese atsirado esminių trūkumų. Dabar eMudhra gilinasi į kodo klaidas, proceso spragas ir būtent su šia problema susijusias vykdytojo ir tikrintojo (maker/checker) kontrolės priemones. Per ateinančią savaitę bendrovė iš naujo patikrins kiekvieną atliktą raktų ceremoniją.
Kai naršyklės tarpinius sertifikatus užblokavo, didžioji grėsmės dalis išnyko. Tačiau daugeliui kitų įrenginių, kurie remiasi tais pačiais sertifikatais, tokiems veiksmams atlikti reikia gerokai ilgesnio laiko. Dar kiti įrenginiai, pavyzdžiui, įterptiniai, galbūt niekada negalės jų užblokuoti.
