تم اختراق المفاتيح الخاصة لثماني شهادات CA وسيطة تابعة لـ eMudhra. ترتبط الشهادات بجذور موثوقة من برامج الجذور لدى Mozilla وMicrosoft وApple وChrome، وبالعديد من مخازن الثقة اللاحقة. أثبت المُبلِّغ الأصلي Wayne الاختراق بتوقيع رسالة بالمفتاح الخاص لكل من الشهادات الوسيطة الثماني، وأبلغ فرق برامج الجذور بذلك في 17 أكتوبر. تتضمن الحزمة الرسالة والشهادات والمفاتيح العامة والتواقيع، بحيث يمكن لأي شخص التحقق من التواقيع باستخدام OpenSSL.
اتخذت برامج الجذور والعديد من مخازن الثقة اللاحقة إجراءات. فقد جرى حجب الشهادات في Firefox وChrome منذ 17 أكتوبر، وفي أجهزة Apple منذ 19 أكتوبر، وفي Microsoft منذ 20 أكتوبر. وقد أُبلغت مخازن الثقة اللاحقة بالمشكلة بشكل مسؤول في 19 أكتوبر، وأصدر كثير منها تحديثات أو يُعدّ تحديثات. كما ألغت الهيئة المُصدِرة الشهادات الوسيطة المخترقة.
يمكن لمهاجم يمتلك أياً من المفاتيح الخاصة المخترقة أن ينتحل شخصية أي موقع إلكتروني أو خدمة. وقد عالجت Mozilla وMicrosoft وApple وChrome هذه المشكلة لمستخدميها من خلال أدوات الإلغاء مثل CRLite وCRLSets. غير أن كثيراً من العملاء الآخرين لا يستخدمون معلومات الإلغاء، ويتطلبون تحديثات برمجية لوقف الوثوق بالشهادات الوسيطة المخترقة. ويُنصح المستخدمون بتحديث متصفحاتهم وأنظمة التشغيل إلى أحدث الإصدارات في أقرب وقت.
تتوفر إصدارات معدّلة لعدد من أدوات المطورين والحزم، من بينها Go وElectron وPython certifi وRust webpki-roots وHomebrew ca-certificates وNSS، بينما كانت حزم أخرى مثل Node.js وComposer لا تزال قيد الانتظار وقت إعداد التقرير. يمكن للمستخدمين المتمرسين في Linux إلغاء الثقة يدوياً بالجذور المتأثرة في مخزن الثقة بالنظام إلى أن تصدر التوزيعات حزم ca-certificates محدّثة، لكن هذا غير موصى به للمستخدمين العاديين.
المصدر: Hacker News · لخّصه HeadlinesBriefing