هشدار امنیتی در وب؛ نشت گواهی‌های TLS زیرساخت اعتماد اینترنت را لرزاند

دنیای امنیت سایبری در حال حاضر با یک چالش جدی و گسترده روبروست که می‌تواند زیرساخت‌های اعتماد در فضای وب را به شدت متزلزل کند. ماجرا از شناسایی هشت گواهی امنیتی TLS متعلق به شرکت هندی «ای‌مودرا» (eMudhra) آغاز شد که کلیدهای خصوصی آن‌ها به قدری ضعیف بودند که عملاً امکان جعل هویت هر وب‌سایت یا سرویس آنلاین را برای مهاجمان فراهم می‌کردند. این نقص فنی به این معناست که اگر کسی از این ضعف بهره‌برداری می‌کرد، می‌توانست گواهی‌های جعلی اما معتبری صادر کند که مرورگرها و اپلیکیشن‌ها بدون هیچ شک و تردیدی آن‌ها را به عنوان منابع قابل اعتماد می‌پذیرفتند.

اگرچه شرکت‌های بزرگ سازنده مرورگر و توسعه‌دهندگان نرم‌افزار به سرعت دست به کار شده و این گواهی‌های آسیب‌پذیر را مسدود کرده‌اند، اما خطر اصلی همچنان پابرجاست. برخلاف تصور، پاکسازی این وضعیت تنها با یک به‌روزرسانی ساده در مرورگرها حل نمی‌شود. بخش بزرگی از اینترنت، شامل دستگاه‌های اینترنت اشیاء (IoT)، توزیع‌های مختلف لینوکس و ابزارهای برنامه‌نویسی که نسخه‌های خاصی از این گواهی‌ها را در خود جای داده‌اند، به سختی قابل اصلاح هستند. این «دم دراز» آسیب‌پذیری باعث می‌شود که بسیاری از سیستم‌های قدیمی یا فراموش‌شده برای مدت‌ها در معرض خطر باقی بمانند.

کارشناسان امنیتی این بحران را از نظر گستردگی و دشواریِ فرآیند اصلاح، حتی فراتر از باگ مشهور «هارت‌بلید» (Heartbleed) ارزیابی می‌کنند. با وجود اینکه تاکنون گزارشی مبنی بر سوءاستفاده مخرب از این کلیدهای لو رفته منتشر نشده، اما ماهیت این نقص به گونه‌ای است که مدیران سیستم و تیم‌های فنی در سراسر جهان باید زمان و انرژی بسیار زیادی را صرف شناسایی و جایگزینی این گواهی‌ها در لایه‌های مختلف شبکه کنند. این رویداد بار دیگر یادآور شد که امنیت کل اینترنت تا چه حد به زنجیره‌ای از اعتماد وابسته است که حتی یک حلقه ضعیف در آن می‌تواند کل ساختار را با تهدیدی جدی روبرو کند.

منبع: Ars Technica — مطلب اصلی را اینجا بخوانید