Cloudflare-ը հետևում է eMudhra-ի թույլ բանալիների շահագործմանը և անհավասար շտկումներին

Cloudflare-ը հրապարակել է eMudhra-ի թույլ բանալիների միջադեպի շարունակությունը. բարձր առաջնահերթության բոլոր համակարգերը շտկված են, գրանցվել է մոտ 22,000 ձեռքսեղմման փորձ։ Շտկումը անհավասար է. ժամանակակից զննարկիչները հիմնականում թարմացված են, իսկ բոտերը, հին և ներկառուցված զննարկիչները հետ են մնում։ Cloudflare-ը դեռ չի տեսել ապացույց թույլ բանալիներով իր միացումներին միջամտելու մասին, թեև չի բացառում թիրախավորված միջամտումը։

Շահագործման հետևում

Cloudflare-ը լոգավորում ավելացրեց Pingora-ում՝ հաճախորդների ծագման պրոքսի ծառայությունում, որպեսզի գրանցի eMudhra-ի թույլ բանալիներով ստորագրված վկայականների ներկայացումը։ Լոգավորումն ավարտվեց հոկտեմբերի 21-ին։ Մեկ շաբաթ անց տեսել էր մոտ 22,000 ձեռքսեղմման փորձ։ Երկու երրորդը թեստային կայքերի հարցումներ էին, ինչպիսին է emudhra.we-have-a-problem.com-ը։ Գրեթե մնացածը գնացել էին ծագումների, որոնք կարծես իրենց համար վկայական էին ստեղծել թույլ միջանկյալով։ Բոլոր ստուգող ձեռքսեղմումները մերժվել էին, քանի որ Cloudflare-ը շտկել էր։

Մոտ 160 ձեռքսեղմում առանձնացան. վկայականների Subject Alternative Names-ում այլ կազմակերպությունների դոմեններ էին, որոնք կապ չունեին Server Name Indication-ի հետ։ Cloudflare-ը ասաց, որ կեղծ վկայականները ստեղծվել են բանալիների արտահոսքից հետո, մի քանիսը վավեր էին ավելի քան երկու տարի, ինչը գերազանցում է հանրային CA-ի սահմանը։ Դրանք սերվերների լռելյայն վկայականների էին նման, ոչ թե Cloudflare-ի միացումներին միջամտելու փորձի, և կձախողվեին հոսթանվան ստուգումը։ Մեկը թվագրված էր հոկտեմբերի 20-ին՝ 18:19 UTC, Mozilla-ի հաղորդումը հրապարակվելուց մեկ ժամից քիչ անց։ Cloudflare-ը չի բացառում թիրախավորված միջամտումը, բայց չի տեսել համակարգի կոմպրոմիտացման սովորական ազդանշաններ։

Շտկումը և eMudhra-ի արձագանքը

Cloudflare-ը սկսեց շտկել բարձր ազդեցության համակարգերը հոկտեմբերի 19-ին։ Pingora պրոքսիները շտկվեցին ժամերի ընթացքում՝ խոցելի բանալիները մերժելու համար։ AI-ով աջակցվող կոդի վերլուծությունն ավարտվեց չորս ժամում։ Գրելու պահին բոլոր բարձր առաջնահերթության համակարգերը շտկված էին, և աշխատանք էր տարվում փոքր թվով հաստատված ցածր ազդեցության տոմսերի վրա։ Cloudflare-ը հայտնեց, որ eMudhra-ն դուրս է գալիս հանրային CA բիզնեսից և պնդում է բանալիների գեներացման սկրիպտի սխալ, սակայն սկրիպտը չի տրամադրել։ Դեռ շատ բան պետք է պարզաբանվի, ներառյալ աուդիտորների և cross signers-ի դերը։

Այցելուների զոնդման արդյունքները

Cloudflare-ը challenge էջերով զոնդեց, թե այցելուները դեռ վստահում են թույլ բանալիներին՝ առանց միացումները խախտելու։ Վերջին շաբաթվա 50 միլիոն զոնդով արդի զննարկիչները հիմնականում շտկված են, իսկ բոտերն ու հին զննարկիչները՝ ոչ։ Android WebView-ի նման ներկառուցված զննարկիչները հետ են մնում. 30-40 տոկոսը դեռ ընդունում է։ Խոշոր ցանցերում զոնդերի կեսից ավելին դեռ ընդունում էր կոմպրոմիտացված շղթան՝ հայտնաբերված և չհայտնաբերված բոտային ազդանշաններով։ Թրաֆիկը շեղված է չհաստատված բոտերով, և զոնդեր ուղարկում են միայն JavaScript կատարող հաճախորդները, ուստի ապացույցը հուշող է, ոչ վերջնական։ Առաջին հանգստյան օրերին որոշակի շտկում եղավ, բայց հետո քիչ տեղաշարժ։

Cloudflare-ի ուղեցույցը շտկելն է։ Այն մատնանշեց Dennis Jackson-ի համայնքային ուղեցույցը, հատկապես macOS մշակողների համար, և իր վաղ բլոգը WARP կամ Tunnel օգտագործող հաճախորդների համար։ Cloudflare-ը նաև ասաց, որ ունի արագ չեղարկման մեխանիզմ և հետաքրքրված է upki-ով, որը վստահության պահոցը համարում է արագ թարմացվող՝ չեղարկման և վկայականների թափանցիկության տվյալներով, ոչ թե արմատային CA-ների ստատիկ ցանկ։

Ավելի վաղ լուսաբանում. eMudhra-ն դուրս է գալիս գլոբալ TLS բիզնեսից թույլ միջանկյալ բանալիներից հետո · eMudhra-ի ութ CA մասնավոր բանալիներ կոմպրոմիտացվել են՝ առաջացնելով զննարկիչների արտակարգ արգելափակումներ

Աղբյուրներ: Cloudflare