eMudhra 8 گواهینامه CA دیگر را پس از اشتباه کلید خصوصی لغو می کند

مرجع صدور گواهی eMudhra پس از بررسی‌هایی که در مورد حادثه امنیتی اخیر گواهینامه‌اش انجام شده است، نشان می‌دهد که در فرآیند تولید گواهی، کنترل نامناسب کلیدهای خصوصی وجود دارد، هشت گواهی CA میانی دیگر را باطل کرده است.

ابطال‌های جدید تعداد کل گواهی‌های CA میانی تحت‌تاثیر را به 16 می‌رساند، از جمله هشت گواهی‌هایی که قبلا در معرض خطر قرار گرفته بودند و کلیدهای خصوصی آن‌قدر ضعیف بودند که هر کسی می‌توانست تقریبا فورا آنها را بازیابی کند.

در گزارش رویداد جدیدی که روز سه‌شنبه منتشر شد، eMudhra گفت که هر دو مجموعه گواهی‌ها تحت تأثیر یک اسکریپت پایتون سفارشی قرار گرفته‌اند که برای انتقال کلیدهای خصوصی بین ماژول‌های امنیتی سخت‌افزار (HSM) در آوریل 2025 استفاده می‌شود.

HSM ها دستگاه هایی هستند که برای تولید و ذخیره ایمن کلیدهای رمزنگاری طراحی شده اند و از افشای کلیدهای خصوصی حساس در خارج از سخت افزار جلوگیری می کنند.

eMudhra می گوید که این اسکریپت را برای جابجایی کلیدهای مرجع گواهی بین فروشندگان مختلف HSM در تاسیسات خود پس از تاخیر در دریافت سخت افزار جدید توسعه داده است.

با این حال، اسکریپت حاوی یک اشکال بود که هشت کلید خصوصی ECDSA را به یک بایت کاهش می داد و بازیابی آنها را بسیار آسان می کرد.

همین اسکریپت همچنین هشت کلید خصوصی RSA را پردازش کرد که اطلاعات کلیدی حساس را در حافظه رایانه‌ای که اسکریپت را اجرا می‌کند به جای محافظت از آن در HSM پردازش می‌کرد.

در حالی که کلیدهای RSA مانند هشت گواهی اصلی ضعیف نشده بودند، eMudhra می‌گوید که نمی‌تواند نشان دهد که آنها را تحت سیاست‌های امنیتی گواهینامه خود مدیریت می‌کند.

در گزارش حادثه آمده است: "واردات مجدد انجام شده از حافظه فرآیند میزبان با CPS §6.2.6 مطابقت ندارد و بنابراین اشیاء RSA به عنوان این الزام تلقی می شوند."

به همین دلیل، این شرکت در 7 نوامبر 8 گواهینامه CA میانی RSA را باطل کرد، از جمله گواهی‌هایی که برای صدور TLS و گواهی‌های امضای کد استفاده می‌شوند.

برخی از واسطه‌های RSA که تحت تأثیر قرار گرفته‌اند، از ماه می 2026 به طور فعال گواهی‌هایی صادر می‌کردند که آخرین گواهی آن در 3 نوامبر صادر شد.

eMudhra می‌گوید گواهی‌های مشتری آسیب‌دیده نیز جایگزین شده یا منتقل شده‌اند.

این تحقیقات همچنین نشان داد که یک مشکل قبلی در ژوئن 2025 می‌توانست این نقص را بیش از یک سال قبل از کشف آن توسط یک محقق امنیتی به نام "وین" آشکار کند.

در آن زمان، eMudhra لیست‌های ابطال گواهی (CRL) را شناسایی کرد که با کلیدهای خصوصی امضا شده بودند که با گواهی‌های CA مربوطه مطابقت نداشتند.

این شرکت با امضای فهرست‌های ابطال با کلیدهای منطبق، مشکل را برطرف کرد، اما بررسی نکرد که چرا این مشکل رخ داده است.

گزارش جدید تأیید می‌کند که این یک علامت هشدار اولیه از فرآیند تولید کلید معیوب بود که تا اکتبر 2026 شناسایی نشد.

این تحقیقات همچنین نشان داد که eMudhra قدرت کلیدهای خصوصی تولید شده را تأیید نکرد یا بررسی نکرد که آیا کلیدهای مورد استفاده برای صدور گواهینامه با کلیدهایی که در ابتدا در HSM ایجاد شده بودند مطابقت دارند.

همانطور که BleepingComputer قبلا گزارش داده بود، این حادثه برای اولین بار در 17 اکتبر فاش شد، زمانی که یک محقق امنیتی به نام وین کشف کرد که هشت کلید خصوصی CA میانی eMudhra را می توان تنها با آزمایش 256 مقدار ممکن بازیابی کرد.

مرورگرها و سیستم‌عامل‌های اصلی به گواهی‌های به خطر افتاده اعتماد داشتند، و به طور بالقوه به مهاجمان اجازه می‌دادند تا گواهی‌هایی را برای وب‌سایت‌های قانونی جعل کنند و ارتباطات رمزگذاری شده را رهگیری کنند.

موزیلا، گوگل، اپل و سایر فروشندگان نرم افزار متعاقبا حفاظت هایی را برای مسدود کردن گواهی های در معرض خطر منتشر کردند.

مایکروسافت همچنین به‌روزرسانی‌های خارج از باند ویندوز را در ۲۶ اکتبر منتشر کرد تا اعتماد به زنجیره‌های اعتماد گواهی eMudhra آسیب‌دیده را در سیستم‌هایی که نمی‌توانند به‌روزرسانی‌های اعتماد گواهی خودکار را دریافت کنند، حذف کند.

پس از این حادثه، eMudhra اعلام کرد که از تجارت گواهینامه TLS مورد اعتماد عمومی خارج می شود و مشتریان باقی مانده خود را به ارائه دهنده دیگری منتقل می کند.

این شرکت می گوید قصد دارد تا 16 نوامبر صدور گواهینامه تحت سلسله مراتب باقیمانده G1 خود را متوقف کند.

eMudhra همچنین یک بررسی مستقل توسط KPMG را سفارش داده است، با یافته هایی که انتظار می رود تا 4 دسامبر، بهبودهایی در مدیریت گواهینامه و رویه های تولید کلید شناسایی شود.

این شرکت می‌گوید هیچ مدرکی مبنی بر استفاده مخرب از کلیدهای در معرض خطر شناسایی نکرده است.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

Mozilla، Google، Apple گواهینامه‌های eMudhra CA را به خطر انداخته‌اند

مایکروسافت به‌روزرسانی‌های OOB ویندوز را برای عدم اعتماد به گواهی‌های eMudhra منتشر می‌کند

هکرها پس از نقض رجیستری های ccTLD، دامنه های گوگل را ربودند