الإنترنت في حالة تأهب قصوى بعد اكتشاف ثماني شهادات TLS مخترقة مرتبطة بثغرة حرجة في مكتبة التشفير OpenSSL. وقد عُرفت هذه الثغرة باسم Heartbleed، وقد مكّنت المتسللين من فك تشفير عمليات التبادل المحمية، وسرقة المفاتيح الخاصة وملفات تعريف الارتباط للجلسات وكلمات المرور.
أثرت الهجمات على آلاف الخوادم، بما في ذلك خوادم كبرى الشركات والوكالات الحكومية. واستغرق التعافي منها سنوات، شملت ترقيع OpenSSL، وإعادة إصدار ملايين مفاتيح TLS، وإلغاء الشهادات، وتغيير كلمات المرور، وتحديث الأنظمة المدمجة.
كانت المفاتيح المخترقة من eMudhra معيبة إلى درجة بالغة. فبينما يحتوي المفتاح الخاص القياسي NIST P-384 على 384 بت من الentropy، تراوحت قيم هذه المفاتيح بين 3 و8 بتات فقط. ووجد المهندسون مفاتيح بقيم entropy تبلغ 4 و56 و66 و115 و155 و156 و230 و237 بتًا، وهي أدنى بكثير من حدود الأمان المقبولة.
قال Valsorda: «هذا لا ينبغي أن يكون ممكنًا»، مرجحًا أن واجهة توليد المفاتيح الخطرة ربما ضُبط معامل حجمها بالخطأ على القيمة 1. وذهب Ben Cartwright-Cox من BGP.tools إلى أن شيفرة مثال ربما تسربت عن طريق الخطأ إلى بيئة الإنتاج، ووصف هذا الإغفال بأنه «مذهل». ويسلّط الحادث الضوء على المخاطر المستمرة في تنفيذ التشفير والإشراف على الأنظمة.
المصدر: Ars Technica · لخّصه HeadlinesBriefing