หน่วยงาน CA ของอินเดีย eMudhra เปิดเผยช่องโหว่การสร้างคีย์ส่วนตัว เบราว์เซอร์ทั่วโลกบล็อกฉุกเฉินเพื่อป้องกันการโจมตีแบบ man-in-the-middle

ข่าว BlockBeats วันที่ 21 ตุลาคม เหตุการณ์ด้านความปลอดภัยของผู้ให้บริการออกใบรับรอง (CA) ที่สร้างความสนใจอย่างสูงในวงการความปลอดภัยไซเบอร์ทั่วโลกได้ถูกเปิดเผย eMudhra ซึ่งเป็นหน่วยงาน CA ของอินเดียถูกนักวิจัยด้านความปลอดภัยค้นพบว่าใบรับรองระดับกลาง 8 ใบที่ออกโดยหน่วยงานนี้มีข้อบกพร่องร้ายแรงอย่างยิ่งในการสร้างคีย์ส่วนตัว คีย์ส่วนตัวเหล่านี้ซึ่งควรมีความแข็งแกร่งด้านความปลอดภัยสูงมาก กลับมีข้อมูลที่มีประสิทธิผลจริงเพียงเท่ากับจำนวนเต็มขนาดเล็กมาก (เช่น 4, 56, 66 เป็นต้น) เนื่องจากข้อผิดพลาดในการใช้งาน ส่งผลให้นักวิจัยด้านความปลอดภัยสามารถถอดรหัสได้อย่างสมบูรณ์ภายในเวลาไม่ถึงหนึ่งวินาที ช่องโหว่นี้ทำให้รากฐานความเชื่อมั่นที่เดิมใช้เพื่อรักษาความปลอดภัยของการสื่อสารผ่านเครือข่ายกลายเป็นสิ่งที่ไร้ความหมาย

ใบรับรองระดับกลางเป็นส่วนสำคัญในห่วงโซ่ความเชื่อมั่นของการเข้ารหัส HTTPS เมื่อคีย์ส่วนตัวถูกเข้าถึงได้ง่าย ผู้โจมตีก็สามารถใช้มันเพื่อปลอมแปลงใบรับรอง HTTPS ที่ได้รับความเชื่อมั่น แล้วโจมตีแบบ man-in-the-middle ต่อธนาคาร อีเมล หรือเว็บไซต์ที่ได้รับความเชื่อมั่นใดๆ เพื่อดักจับ เปลี่ยนแปลง หรือขโมยข้อมูลการสื่อสารของผู้ใช้ ต้นเหตุของเหตุการณ์ไม่ใช่การบุกรุกโดยแฮกเกอร์ภายนอก แต่เป็นข้อผิดพลาดร้ายแรงในการใช้งานของ eMudhra ในขั้นตอนการสร้างใบรับรอง ซึ่งผลิตคีย์ส่วนตัวที่มีความปลอดภัยเกือบเป็นศูนย์

หลังเหตุการณ์ถูกเปิดเผย ผู้ผลิตเบราว์เซอร์และซอฟต์แวร์รายใหญ่ทั่วโลกได้ดำเนินมาตรการป้องกันฉุกเฉินอย่างรวดเร็ว Chrome, Firefox, Apple และ Microsoft ต่างได้ออกอัปเดตความปลอดภัย โดยนำใบรับรองระดับกลางที่มีความเสี่ยง 8 ใบนี้เข้าบัญชีดำ เพื่อป้องกันไม่ให้ผู้ใช้เข้าถึงใบรับรองปลอมที่ออกโดยใบรับรองเหล่านี้ ในขณะเดียวกัน บริษัท eMudhra เองก็ได้เพิกถอนใบรับรองที่มีข้อบกพร่องเหล่านี้อย่างเป็นทางการแล้ว นอกจากนี้ เนื่องจากซอฟต์แวร์จำนวนมากพึ่งพาคลังความเชื่อมั่นใบรับรองที่มีมาในตัว ภาษาและเฟรมเวิร์กการพัฒนาชั้นนำ เช่น Go, Python, Rust และ Electron จึงได้ผลักดันอัปเดตฉุกเฉินเพื่อบล็อกใบรับรองที่ได้รับผลกระทบเหล่านี้ภายในระบบนิเวศของตน

จนถึงปัจจุบัน หน่วยงานความปลอดภัยทั่วโลกยังไม่พบหลักฐานว่าคีย์ส่วนตัวที่เปราะบางเหล่านี้ถูกนำไปใช้ในทางที่ผิดเพื่อออกใบรับรองปลอม อย่างไรก็ตาม เมื่อพิจารณาถึงอุปกรณ์ IoT จำนวนมหาศาลและระบบเก่าที่ไม่ได้อัปเดตทันเวลา การกำจัดภัยคุกคามด้านความปลอดภัยนี้อย่างครอบคลุมยังต้องใช้เวลา ผู้เชี่ยวชาญด้านความปลอดภัยเตือนผู้ใช้ว่า มาตรการป้องกันที่ตรงและได้ผลที่สุดในขณะนี้คือการตรวจสอบให้แน่ใจว่าเบราว์เซอร์และระบบปฏิบัติการเป็นเวอร์ชันล่าสุด เพื่อรับบัญชีดำใบรับรองล่าสุดได้ทันเวลา และรักษาความปลอดภัยในการเข้าถึงเครือข่ายของตนเอง