eMudhra-এর আটটি মধ্যবর্তী CA সার্টিফিকেটের প্রাইভেট কী ফাঁস হয়ে গেছে। এই সার্টিফিকেটগুলি Mozilla, Microsoft, Apple ও Chrome রুট প্রোগ্রাম দ্বারা বিশ্বাসযোগ্য রুটের সাথে যুক্ত এবং বহু ডাউনস্ট্রিম ট্রাস্ট স্টোরও এগুলিকে বিশ্বাস করে। মূল প্রতিবেদক Wayne আটটি মধ্যবর্তী CA-এর প্রতিটির প্রাইভেট কী দিয়ে একটি বার্তায় স্বাক্ষর করে এবং ১৭ অক্টোবর রুট প্রোগ্রাম টিমগুলিকে জানিয়ে এই ফাঁস প্রদর্শন করেন। প্যাকেজটিতে বার্তা, সার্টিফিকেট, পাবলিক কী ও স্বাক্ষর রয়েছে, যাতে যে কেউ OpenSSL ব্যবহার করে স্বাক্ষরগুলি যাচাই করতে পারে।
রুট প্রোগ্রাম ও বহু ডাউনস্ট্রিম ট্রাস্ট স্টোর ইতিমধ্যে ব্যবস্থা নিয়েছে। ১৭ অক্টোবর থেকে Firefox ও Chrome-এ, ১৯ অক্টোবর থেকে Apple ডিভাইসে এবং ২০ অক্টোবর থেকে Microsoft-এ এই সার্টিফিকেটগুলি ব্লক করা হয়েছে। ১৯ অক্টোবর ডাউনস্ট্রিম ট্রাস্ট স্টোরগুলিকে দায়িত্বশীলভাবে সমস্যাটি জানানো হয়, এবং অনেকে ইতিমধ্যে আপডেট প্রকাশ করেছে বা প্রস্তুত করছে। CA ফাঁস হওয়া মধ্যবর্তী সার্টিফিকেটগুলিও প্রত্যাহার করেছে।
ফাঁস হওয়া যেকোনো প্রাইভেট কী-এর অধিকারী একজন আক্রমণকারী যেকোনো ওয়েবসাইট বা সেবার ভান করতে পারে। Mozilla, Microsoft, Apple ও Chrome CRLite ও CRLSets-এর মতো প্রত্যাহার সরঞ্জামের মাধ্যমে তাদের ব্যবহারকারীদের জন্য এটির প্রতিকার করেছে। তবে অন্যান্য অনেক ক্লায়েন্ট প্রত্যাহার তথ্য ব্যবহার করে না এবং ফাঁস হওয়া মধ্যবর্তী সার্টিফিকেটে বিশ্বাস বন্ধ করতে সফটওয়্যার আপডেট প্রয়োজন। ব্যবহারকারীদের দ্রুত ব্রাউজার ও অপারেটিং সিস্টেম সর্বশেষ সংস্করণে আপডেট করার পরামর্শ দেওয়া হচ্ছে।
Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates ও NSS সহ বেশ কয়েকটি ডেভেলপার টুল ও প্যাকেজের প্যাচযুক্ত সংস্করণ পাওয়া যাচ্ছে, যদিও প্রতিবেদন প্রকাশের সময় Node.js ও Composer-এর মতো কিছু এখনও অপেক্ষমাণ ছিল। অভিজ্ঞ Linux ব্যবহারকারীরা বিতরণ আপডেট করা ca-certificates প্যাকেজ না দেওয়া পর্যন্ত সিস্টেম ট্রাস্ট স্টোরে প্রভাবিত রুটগুলিতে ম্যানুয়ালি অবিশ্বাস করতে পারেন, তবে সাধারণ ব্যবহারকারীদের জন্য এটি সুপারিশ করা হয় না।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing