Cloudflare-მა დააფიქსირა eMudhra-ს სუსტი გასაღებების ექსპლუატაცია და არათანაბარი პატჩინგი

Cloudflare-მა eMudhra-ს სუსტი გასაღებების ინციდენტზე განახლება გამოაქვეყნა. ყველა მაღალი პრიორიტეტის სისტემა პატჩირებულია; დაფიქსირდა დაახლოებით 22 000 handshake-ის მცდელობა. ვიზიტორებში პატჩინგი არათანაბარია: თანამედროვე ბრაუზერები ძირითადად განახლებულია, ბოტები, ძველი და ჩაშენებული ბრაუზერები ჩამორჩებიან. Cloudflare-ს ჯერ არ უნახავს მტკიცებულება იმისა, რომ სუსტი გასაღებები მისი კავშირების ჩასაჭრელად გამოიყენეს, თუმცა ფრთხილად მიზანმიმართულ ჩაჭრას არ გამორიცხავს.

დაფიქსირებული ექსპლუატაცია

Cloudflare-მა Pingora-ში, origin-ისკენ მიმართულ პროქსი სერვისში, ლოგირება დაამატა eMudhra-ს სუსტი გასაღებებით ხელმოწერილი სერტიფიკატების წარდგენის დასაფიქსირებლად. ლოგირება 21 ოქტომბერს დასრულდა. ერთ კვირაში 22 000-მდე handshake დაფიქსირდა; ორი მესამედი ტესტური საიტების, მაგალითად emudhra.we-have-a-problem.com-ის, მოთხოვნა იყო. დანარჩენი თითქმის მთლიანად origin-ებზე მიდიოდა, რომლებმაც, როგორც ჩანს, სუსტი შუალედური CA-ით საკუთარი სერტიფიკატი შექმნეს. ყოველი გადამოწმებადი handshake უარყოფილი იყო, რადგან Cloudflare პატჩირებული იყო.

დაახლოებით 160 handshake გამოირჩა: მათი სერტიფიკატების Subject Alternative Names-ში სხვა ორგანიზაციების დომენები ეწერა, რომლებიც handshake-ში მოთხოვნილ Server Name Indication-ს არ უკავშირდებოდა. Cloudflare-ის თქმით, ისინი გასაღებების გაჟონვის შემდეგ შეიქმნა; ზოგი ორ წელზე მეტხანს ვალიდური იყო, რაც აღემატება საჯარო CA-ისთვის დაშვებულ ვადას. ისინი სერვერების ნაგულისხმევ სერტიფიკატებს ჰგავდნენ და hostname-ის შემოწმებას ვერ გაივლიდნენ, ამიტომ ჩაჭრის მცდელობად არ გამოიყურებოდნენ. ერთი მათგანი 20 ოქტომბრის 18:19 UTC-ით იყო დათარიღებული, Mozilla-ს bug report-ის გასაჯაროებიდან საათზე ნაკლებში. Cloudflare ამბობს, რომ ეს ფრთხილად მიზანმიმართულ ჩაჭრას არ გამორიცხავს, თუმცა კომპრომეტაციის ჩვეულებრივი ირიბი ნიშნები არ უნახავს.

პატჩინგი და eMudhra-ს პასუხი

Cloudflare-მა მაღალი გავლენის სისტემების პატჩინგი 19 ოქტომბერსვე დაიწყო. Pingora-ს პროქსები რამდენიმე საათში განახლდა, რათა დაუცველი გასაღებები უარყოფილიყო; AI-ის დახმარებით წყაროს კოდის ანალიზი ოთხ საათში დასრულდა. წერის მომენტისთვის ყველა მაღალი პრიორიტეტის სისტემა პატჩირებული იყო, მიმდინარეობდა მუშაობა მცირე რაოდენობის დადასტურებულ დაბალი გავლენის ტიკეტზე. eMudhra საჯარო CA-ს ბიზნესს ტოვებს და ამტკიცებს გასაღების გენერაციის სკრიპტში შეცდომას, თუმცა სკრიპტი არ გაუზიარებია. გასარკვევი რჩება აუდიტორებისა და cross signer-ების როლი.

ვიზიტორების შემოწმება

Cloudflare-მა challenge გვერდებით შეამოწმა, ნდობენ თუ არა ვიზიტორები ჯერ კიდევ სუსტ გასაღებებს კავშირის გაწყვეტის გარეშე. ბოლო კვირაში ჩატარებული 50 მილიონი შემოწმების შედეგად განახლებული თანამედროვე ბრაუზერები ძირითადად პატჩირებული აღმოჩნდა, ბოტები და ძველი ბრაუზერები კი არა. Android WebView-ის მსგავსი ჩაშენებული ბრაუზერები ჩამორჩებიან: 30-40% ჯერ კიდევ იღებს. დიდ ქსელებში შემოწმებების ნახევარზე მეტმა კვლავ მიიღო კომპრომეტირებული ჯაჭვი, მათ შორის ტრაფიკი ბოტის სიგნალებით და მის გარეშე. Cloudflare ამბობს, რომ ტრაფიკი ძლიერად არის დამახინჯებული დაუდასტურებელი ბოტებით და შემოწმებას მხოლოდ JavaScript-ის შემსრულებელი კლიენტები აგზავნიან, ამიტომ მტკიცებულება მიმანიშნებელია და არა დამადასტურებელი.

Cloudflare-ის რეკომენდაციაა პატჩინგი. ის მიუთითებს Dennis Jackson-ის კრაუდსორსინგულ საიტზე ინსტრუქციებით, განსაკუთრებით macOS-ის დეველოპერებისთვის, და ადრინდელ ბლოგპოსტზე WARP-ის ან Tunnel-ის მომხმარებლებისთვის. Cloudflare-მა ასევე აღნიშნა, რომ ზოგიერთ პროდუქტში სწრაფი გაუქმების მექანიზმი აქვს და დაინტერესებულია upki-ით, რომელიც trust store-ს სწრაფად განახლებად ნივთად განიხილავს revocation-ისა და certificate transparency-ის ინფორმაციით, და არა root CA-ების სტატიკურ სიად.

ადრინდელი გაშუქება: eMudhra ტოვებს გლობალურ TLS ბიზნესს სუსტი შუალედური გასაღებების შემდეგ · რვა eMudhra CA-ს პირადი გასაღები გატყდა, ბრაუზერები გადაუდებლად დაიბლოკა

წყაროები: Cloudflare