Cloudflare עוקבת אחר ניצול מפתחות חלשים של eMudhra ותיקון לא אחיד

Cloudflare פרסמה מעקב נוסף על תקרית המפתחות החלשים של eMudhra, וציינה כי כל מערכות Cloudflare בעדיפות גבוהה תוקנו וכי נרשמו כ-22,000 ניסיונות לחיצת יד (handshakes) הכוללים את המפתחות החלשים. תיקון המבקרים אינו אחיד, כאשר דפדפנים מודרניים עודכנו ברובם בעוד בוטים, דפדפנים ישנים ודפדפנים מוטמעים מפגרים. Cloudflare לא ראתה ראיות לכך שהמפתחות החלשים שימשו ליירוט החיבורים שלה עד כה, אם כי ציינה כי יירוט ממוקד בזהירות אינו ניתן לשלילה.

ניצול שנעקב

Cloudflare הוסיפה רישום ל-Pingora, שירות ה-proxy הפונה למקור הלקוח שלה, כדי לתעד מתי שרת או תוקף מציג תעודה החתומה על ידי המפתחות החלשים של eMudhra. הרישום הסתיים ב-21 באוקטובר. שבוע לאחר מכן, Cloudflare ראתה כ-22,000 ניסיונות handshake. שני שלישים היו אחזרות של אתרי בדיקה כגון emudhra.we-have-a-problem.com. כמעט כל השאר הופנו למקורות שנראו כאילו הגדירו תעודה עבור עצמם באמצעות ה-intermediate החלש. כל handshake מאומת נדחה מכיוון ש-Cloudflare תיקנה.

כ-160 handshakes בלטו מכיוון ששמות האלטרנטיביים של הנושא (Subject Alternative Names) בתעודות ציינו דומיינים של ארגונים אחרים שאינם קשורים ל-Server Name Indication שנדרש ב-handshake. Cloudflare אמרה כי אותן תעודות מזויפות נוצרו לאחר דליפת המפתחות וחלקן היו תקפות למעלה משנתיים, יותר מכל CA ציבורי רשאי להנפיק. הן נראו כמו תעודות ברירת המחדל של השרתים עצמם ולא כמו ניסיון ליירט את החיבורים של Cloudflare, והיו נכשלות באימות שם המארח. אחת תוארכה ל-20 באוקטובר בשעה 18:19 UTC, פחות משעה לאחר שדוח הבאג של Mozilla פורסם לציבור. Cloudflare ציינה כי הדבר אינו שולל יירוט ממוקד בזהירות, אך היא לא ראתה סימנים עקיפים רגילים של פגיעה במערכת.

תיקון ותגובת eMudhra

Cloudflare החלה לתקן מערכות בעלות השפעה גבוהה מיד ב-19 באוקטובר. ה-proxies של Pingora תוקנו תוך שעות כדי לדחות את המפתחות הפגיעים. ניתוח קוד מקור בסיוע AI הושלם בתוך ארבע שעות. נכון למועד הכתיבה, כל מערכות Cloudflare בעדיפות גבוהה תוקנו, ומספר קטן של כרטיסים מאומתים בעלי השפעה נמוכה עדיין בטיפול. Cloudflare אמרה כי eMudhra יוצאת מעסקי ה-CA הציבורי וטענה לטעות בסקריפט יצירת מפתחות אך לא שיתפה את הסקריפט. Cloudflare אמרה כי נותר הרבה להבהיר, כולל תפקידם של מבקרים ו-cross signers.

תוצאות בדיקת המבקרים

Cloudflare השתמשה בדפי אתגר כדי לבדוק האם מבקרים עדיין סומכים על המפתחות החלשים מבלי לשבור חיבורים. עם 50 מיליון בדיקות במהלך השבוע האחרון, היא אמרה כי דפדפנים מודרניים מעודכנים ברובם תוקנו, אך בוטים ודפדפנים ישנים לא. דפדפנים מוטמעים כגון Android WebView מפגרים, עם 30 עד 40 אחוזים שעדיין מקבלים. ברשתות גדולות, יותר ממחצית הבדיקות עדיין קיבלו את השרשרת הפגועה, כולל תעבורה עם ובלי אותות בוט מזוהים. Cloudflare אמרה כי התעבורה מוטה מאוד על ידי בוטים לא מאומתים ורק לקוחות שמבצעים JavaScript שולחים בדיקות, כך שהראיות הן מרמזות ולא מכריעות. היא ציינה תיקון מסוים בסוף השבוע הראשון אך תנועה מועטה לאחר מכן.

ההנחיה של Cloudflare היא לתקן. היא הפנתה לאתר שפותח על ידי הקהל עם הוראות מאת דניס ג'קסון, במיוחד עבור מפתחי macOS, ולפוסט הבלוג הקודם שלה עבור לקוחות Cloudflare המשתמשים ב-WARP או Tunnel. Cloudflare גם אמרה שיש לה מנגנון ביטול מהיר בחלק מהמוצרים והיא מעוניינת ב-upki, המתייחסת לחנות אמון כמשהו שניתן לעדכן במהירות עם מידע על ביטול ושקיפות תעודות במקום רשימה סטטית של רשויות אישור שורש.

סיקור קודם: eMudhra יוצאת מעסקי תעודות TLS גלובליים לאחר מפתחות ביניים חלשים · שמונה מפתחות פרטיים של CA של eMudhra נפגעו, מפעילים חסימות חירום בדפדפנים

מקורות: Cloudflare