مع قرار eMudhra بالانسحاب من سوق SSL/TLS العالمي، ستعمل تحديثات المتصفحات على حظر سلاسل الشهادات المتأثرة، لكن المطورين قد يحتاجون إلى تحديث بيئات Java والبنى التحتية الأخرى التي تعتمد على مخازن ثقة منفصلة.
يكشف قرار سلطة إصدار شهادات بالتخلي عن سوق SSL/TLS العالمي عن نقطة ضعف نادرًا ما تفحصها العديد من المؤسسات: اعتمادها على سلاسل ثقة البنية التحتية للمفاتيح العامة (PKI) المعقدة.
بعد اختراق المفاتيح الخاصة وراء ثماني من سلطات إصدار الشهادات الوسيطة التابعة لها، تنسحب eMudhra من أعمال شهادات SSL/TLS العالمية وتقدم لعملائها بدائل صادرة عن Sectigo. ومع ذلك، يحذر المحللون من أن الشركات قد تكتشف أن لديها رؤية محدودة فقط لتسلسل الشهادات الهرمي الذي يدعم الخدمات الحيوية.
eMudhra قالت في مذكرة صحفية إن مجلس إدارة الشركة قرر "الانسحاب طواعية من أعمال شهادات SSL/TLS العالمية". وأضافت أن متطلبات سيادة البيانات والامتثال زادت من تعقيد وتكلفة العمل. في. سرينيفاسان، رئيس مجلس إدارة eMudhra، قال في الإعلان إن "مستوى تضخيم وسائل التواصل الاجتماعي حول هذا الحادث جلب تدقيقًا لا يتناسب مع مكانة SSL/TLS في أعمالنا".
الشركة قالت إنها ستتصل بالعملاء المتأثرين لاستبدال الشهادات مجانًا. كما قالت إنها ستبقي خدمات إلغاء الشهادات وحالتها قيد التشغيل حتى انتهاء صلاحية كل شهادة صادرة أو استبدالها.
في تحديث العملاء، eMudhra قالت إنها توفر شهادات صادرة عن Sectigo لجميع عملائها. الشركة قالت في التحديث إن "شهادات الجذر G1 الخاصة بنا تظل نشطة وتستمر في الحصول على دعم كامل". وأفاد إصدار 22 أكتوبر بأن جذور G1 RSA "ستستمر في خدمة العملاء حتى يكتمل هذا الانتقال".
eMudhra قالت إنها ستقدم شهادات بديلة مجانًا عبر شركائها وستواصل تشغيل خدمات إلغاء الشهادات وحالتها حتى انتهاء صلاحية جميع الشهادات التي أصدرتها أو استبدالها. يمكن لمستخدمي CertiNext طلب شهادات Sectigo عبر حساباتهم؛ ويمكن للعملاء الآخرين الاتصال بدعم eMudhra، حسبما أضاف البيان.
نياتي دافتاري، محللة رئيسية في غارتنر، قالت إنه يجب على المؤسسات أن تنظر إلى جذور G1 "كجسر محتمل، وليس بالضرورة كوجهة نهائية". دافتاري قالت: "مع انسحاب الشركة من سوق SSL/TLS العالمي وبقاء جذورها المتبقية خاضعة لتدقيق المتصفحات، فإن المسار الحكيم هو نقل الخدمات الحيوية إلى سلطة إصدار شهادات مستقلة وموثوقة بالكامل حيثما يسمح الموعد النهائي". إذا تم استخدام G1 لمنع انقطاع فوري، أوصت دافتاري بتحديد موعد نهائي صارم وتوثيق خطة ترحيل لاحقة. كما أوصت بتضمين سلطات الإصدار، والشهادات الوسيطة والجذرية، وترتيبات التوقيع المتقاطع، والبنية التحتية للإلغاء، وحالة ثقة المتصفح في تقييمات مخاطر الطرف الثالث.
ياش كاداكيا، المؤسس المشارك والمدير التقني لـ Security Brigade، قال إن الانتقال إلى جذر آخر تديره نفس الشركة لا يعالج بالضرورة المخاوف بشأن الثقة والحوكمة. كاداكيا قال: "آخر ما تحتاجه المؤسسات هو الترحيل مرتين".
لماذا تحتاج أنظمة Java وغيرها إلى إصلاحات منفصلة؟
استبدال شهادة موقع ويب قد لا يعالج كل تبعية في بيئة المؤسسة، وفقًا لساكشي غروفر، مديرة الأبحاث في IDC. غروفر قالت إن التعرض المتبقي يكمن في الأنظمة التي تحتفظ بمخازن الثقة الخاصة بها ولا تتحدث بنفس جدول المتصفحات. وتشمل هذه الأنظمة مخازن مفاتيح Java، وبيئات تشغيل اللغات، وصور الحاويات، وتكوينات TLS المتبادلة، والوكلاء، وموازنات التحميل، وأجهزة VPN والأمن، والأجهزة المدمجة.
غروفر قالت: "الاستنتاج الأصعب للعديد من المؤسسات سيكون أنها لا تستطيع الإجابة على هذه الأسئلة على الإطلاق"، مشيرة إلى الأماكن التي تتخذ فيها قرارات الثقة بالشهادات خارج المتصفحات وأنظمة التشغيل. غروفر أشارت إلى أن جوجل أفادت بعدم العثور على شهادات مرتبطة بالشهادات الوسيطة المتأثرة في سجلات شفافية الشهادات قبل حظرها. غروفر قالت إن هذا مطمئن للعملاء الذين يفرضون شفافية الشهادات، لكن بعض التطبيقات والأجهزة غير المتصفحة لا تفعل ذلك. الاستغلال سيتطلب أيضًا أن يكون المهاجم في وضع يسمح له باعتراض حركة المرور، واصفة الخطر المتبقي بأنه محدود ومستهدف بدلاً من كونه واسع النطاق.
Azul، بائع Java، قال في بيان إن Java لا تتحقق من إلغاء الشهادات افتراضيًا. مجموعة تطوير Java (JDK) غير المحدثة يمكن أن تستمر في قبول شهادة مزورة موقعة بمفتاح وسيط مخترق إذا ظلت السلسلة ذات الصلة موثوقة. Azul قالت إنها أصدرت تحديثات لـ Azul Zulu Builds of OpenJDK و Azul Prime.
غروفر أوصت فرق الأمن بتحديد مكان اتخاذ قرارات الثقة خارج المتصفحات وأنظمة التشغيل أولاً، مع إعطاء الأولوية للأنظمة التي تقبل الاتصالات من الأطراف الخارجية ونقاط نهاية TLS المتبادلة. غروفر قالت إنه يجب على الفرق بعد ذلك تحديد الأنظمة التي يمكن تحديثها لعدم الثقة في شهادة وسيطة معينة أو مفتاح عام.
ما هو الموعد النهائي لمتصفح Chrome؟
أزالت موزيلا الجذر emSign ECC Root CA – G3، الجذر الذي وقع الشهادات الوسيطة الثماني المخترقة، من مخزن الثقة الخاص بها. جوجل قالت في منشور مدونة إن إزالة الجذر من Chrome Root Store من المتوقع أن تصل إلى جميع الأجهزة صباح يوم 27 أكتوبر، بتوقيت المحيط الهادئ. جوجل قالت في المنشور: "لتجنب الأعطال، يجب على مشغلي المواقع الإلكترونية الذين لديهم شهادات مرتبطة بـ emSign ECC Root CA – G3 الحصول على شهادة TLS جديدة وتثبيتها فورًا".
دافتاري قالت إن غالبًا ما تعرف الشركات بائع شهاداتها ولكنها لا تعرف تسلسل سلطة إصدار الشهادات الذي يدعم ثقتها. دافتاري قالت: "هذا يخلق خطرًا غير معترف به من طرف رابع قادر على التأثير على آلاف الخدمات في وقت واحد". وأضافت دافتاري أنه يجب على مسؤولي أمن المعلومات (CISOs) تضمين سلطات إصدار الشهادات (CAs)، والجذور، وترتيبات التوقيع المتقاطع، والبنية التحتية للإلغاء في تقييمات مخاطر الأمن السيبراني للطرف الثالث. كاداكيا قال: "يمكنك الاستعانة بمصادر خارجية لخدمة ما، لكن لا يمكنك الاستعانة بمصادر خارجية للمساءلة."
