كلاودفلير تتابع استغلال مفاتيح eMudhra الضعيفة وتصحيحًا غير متساوٍ

نشرت كلاودفلير متابعة لحادث مفاتيح eMudhra الضعيفة، وقالت إن جميع أنظمتها عالية الأولوية في كلاودفلير مصححة، وإنها سجلت نحو 22,000 محاولة مصافحة تضمنت المفاتيح الضعيفة. التصحيح بين الزوار غير متساوٍ: معظم المتصفحات الحديثة محدثة، بينما تتخلف الروبوتات والمتصفحات القديمة والمتصفحات المضمنة. لم تر كلاودفلير حتى الآن دليلاً على استخدام المفاتيح الضعيفة لاعتراض اتصالاتها، مع أنها أشارت إلى أن الاعتراض المستهدف بعناية لا يمكن استبعاده.

تتبع الاستغلال

أضافت كلاودفلير تسجيلاً إلى Pingora، خدمة الوكيل المواجهة لأصل العملاء، لتسجيل متى يقدم خادم أو مهاجم شهادة موقعة بمفاتيح eMudhra الضعيفة. انتهى التسجيل في 21 أكتوبر. بعد أسبوع، رأت كلاودفلير نحو 22,000 محاولة مصافحة. ثلثاها كانت جلب مواقع اختبار مثل emudhra.we-have-a-problem.com. ذهب تقريبًا كل الباقي إلى أصول بدت وكأنها أعدت شهادة لأنفسها باستخدام الوسيط الضعيف. رُفضت كل مصافحة تحقق لأن كلاودفلير قد صححت.

برزت نحو 160 مصافحة لأن أسماء البدائل للموضوع في الشهادات ذكرت نطاقات منظمات أخرى غير متعلقة بمؤشر اسم الخادم المطلوب في المصافحة. قالت كلاودفلير إن تلك الشهادات المزورة أُنشئت بعد تسرب المفاتيح، وبعضها كان صالحاً لأكثر من عامين، أطول مما قد يصدره أي مركز إصدار عام. بدا وكأنها شهادات افتراضية خاصة بالخوادم وليس محاولة لاعتراض اتصالات كلاودفلير، وكان من المفترض أن تفشل في التحقق من اسم المضيف. كانت إحداها مؤرخة في 20 أكتوبر الساعة 18:19 بالتوقيت العالمي المنسق، أي أقل من ساعة بعد نشر تقرير خطأ Mozilla للعامة. قالت كلاودفلير إن هذا لا يستبعد الاعتراض المستهدف بعناية، لكنها لم تر الإشارات غير المباشرة المعتادة على اختراق الأنظمة.

التصحيح واستجابة eMudhra

بدأت كلاودفلير تصحيح الأنظمة عالية التأثير فوراً في 19 أكتوبر. صُححت وكلاء Pingora خلال ساعات لرفض المفاتيح الضعيفة. اكتمل تحليل الشفرة المصدر بمساعدة الذكاء الاصطناعي خلال أربع ساعات. في وقت كتابة هذا، كانت جميع أنظمة كلاودفلير عالية الأولوية مصححة، ويجري العمل على عدد صغير من تذاكر التأثير المنخفض المؤكدة. قالت كلاودفلير إن eMudhra تخرج من أعمال مركز إصدار شهادات عام، وزعمت خطأ في سكربت توليد المفاتيح لكنها لم تشارك السكربت. قالت كلاودفلير إن الكثير لا يزال بحاجة إلى توضيح، بما في ذلك دور المدققين والموقعين المتقاطعين.

نتائج فحص الزوار

استخدمت كلاودفلير صفحات التحدي لفحص ما إذا كان الزوار لا يزالون يثقون بالمفاتيح الضعيفة دون كسر الاتصالات. مع 50 مليون فحص خلال الأسبوع الماضي، قالت إن المتصفحات الحديثة المحدثة مصححة في الغالب، لكن الروبوتات والمتصفحات القديمة ليست كذلك. تخلف المتصفحات المضمنة مثل Android WebView، حيث لا يزال 30 إلى 40 في المئة تقبلها. عبر الشبكات الكبيرة، لا يزال أكثر من نصف الفحوصات يقبل السلسلة المخترقة، بما في ذلك حركة مرور مع إشارات روبوت مكتشفة وبدونها. قالت كلاودفلير إن حركة المرور مشوهة بشدة بسبب روبوتات غير مؤكدة، وأن العملاء الذين ينفذون JavaScript فقط يرسلون الفحوصات، لذا فالدليل إيحائي وليس قاطعاً. أشارت إلى بعض التصحيح خلال عطلة نهاية الأسبوع الأولى، لكن حركة قليلة بعد ذلك.

إرشاد كلاودفلير هو التصحيح. أشارت إلى موقع إرشادات جماعية مع إرشادات من Dennis Jackson، خصوصاً لمطوري macOS، وإلى منشور مدونتها السابق لعملاء كلاودفلير الذين يستخدمون WARP أو Tunnel. قالت كلاودفلير أيضاً إن لديها آلية إلغاء سريع في بعض المنتجات، وهي مهتمة بـ upki، التي تتعامل مع مخزن الثقة كشيء يمكن تحديثه بسرعة بمعلومات الإلغاء وشفافية الشهادات بدلاً من قائمة ثابتة من جهات إصدار الشهادات الجذر.

تغطية سابقة: eMudhra تخرج من أعمال شهادات TLS العالمية بعد مفاتيح وسيطة ضعيفة · ثمانية مفاتيح خاصة CA لـ eMudhra مخترقة، مما أدى إلى حظر طارئ في المتصفحات

المصادر: Cloudflare