DigiCert 16 aylıq təhlükəsizlik boşluğunu etiraf etdi

DigiCert etiraf edib ki, uğursuz server köçürməsi daxili sistemi 16 aydan çox internetə açıq saxlayıb və icazəsiz istifadəçiyə müştəri məlumatlarına, o cümlədən pasportlar, sürücülük vəsiqələri və digər şəxsiyyət sənədlərinə daxil olmaq imkanı verib. Sertifikat təşkilatı zərərçəkən müştəriləri xəbərdar etməyə başlayıb, lakin məlumatları açıq qalan insanların sayını hələ açıqlamayıb. The Register tərəfindən görülən e-poçtda DigiCert təsdiqləyib ki, açıqlanan məlumatlar adlar, iş e-poçt ünvanları, telefon nömrələri və iş ünvanlarını əhatə edib; bəzi qeydlərdə pasportlar, sürücülük vəsiqələri, kommunal xidmət qəbzləri və ya digər şəxsiyyət sənədləri də ola bilər.

Açıqlanma necə baş verib

DigiCert şirkətinin hadisə hesabatı bu səhvi 2025-ci ilin fevralına bağlayır; həmin vaxt daxili biznes sistemi VPN ilə qorunan şəbəkədən fərqli bir mövcudluq zonasına köçürülüb. Bu dəyişiklik sistemi həm də ictimai internetə açıb və DigiCert bunu 16 aydan çox müddətə fərq etməyib. Arxiv müştəriyönümlü məhsullarla eyni hesab idarəetmə platformasından istifadə edib; bu platformada özünü qeydiyyatdan keçirmə funksiyası var idi və o, daxili sistemdə heç vaxt əlçatan olmamalı idi. Bu, kənar şəxslərə çoxfaktorlu autentifikasiya olmadan hesab yaratmağa və ayrı bir icazə boşluğu sayəsində arxivləşdirilmiş müştəri qeydlərini nəzərdən keçirməyə imkan verib.

Aşkarlanma xronologiyası

DigiCert icazəsiz hesabları 18 iyun 2026-cı ildə tapıb, lakin əvvəlcə onları tətbiqə təyin edilmədikləri üçün zərərsiz hesab edib. Təhlükəsizlik tədqiqatçısı üç gün sonra hesab yaratma problemi barədə xəbərdarlıq edib, lakin onu bağlamaq 2 iyula qədər çəkib. Müştəri məlumatlarına faktiki olaraq daxil olunub-olunmadığını araşdırmaq isə yalnız 12 oktyabrda başlayıb. 19 oktyabrda şirkət təsdiqləyib ki, icazəsiz hesab 27 iyun ilə 2 iyul arasında arxiv qeydlərinin bir hissəsinə daxil olub.

Əhatə dairəsi və cavab tədbirləri

DigiCert təsirlənmiş qeydləri arxivinin 'kiçik bir hissəsi' adlandırıb, lakin pozuntuya cəlb olunan müştəri və ya fərdlərin sayını açıqlamayıb. Şirkət nəşr vaxtı The Register tərəfindən verilən suallara cavab verməyib. DigiCert şirkətinin postmortem hesabatında deyilir ki, server köçürməsi lazımi təhlükəsizlik yoxlamasından keçməyib, monitorinq şübhəli fəaliyyəti aşkar etməyib və giriş nəzarətləri özü qeydiyyatdan keçmiş hesablara qarşı çox da faydalı olmayıb. Şirkət bundan sonra özünü qeydiyyatdan keçirmə funksiyasını söndürüb, şəbəkə girişini sərtləşdirib və monitorinq əlavə edib. Sertifikat təşkilatı əməliyyatları, CertCentral və DigiCert ONE təsirlənməyib, şirkət bildirib; müştəri etimadnamələri və verilmiş sertifikatlar təhlükəsiz qalır. Həmçinin icazəsiz hesabın sertifikatları vermək, ləğv etmək və ya yoxlamaq üçün istifadə edildiyinə dair heç bir sübut tapmadı.

Mənbələr: The Register