एक महत्वपूर्ण कमजोरी से जुड़े आठ समझौता किए गए TLS सर्टिफिकेट मिलने के बाद इंटरनेट हाई अलर्ट पर है। OpenSSL क्रिप्टोग्राफी लाइब्रेरी में पाई गई इस कमजोरी को Heartbleed कहा जाता है। इस खामी से हैकर सुरक्षित डेटा एक्सचेंज को डिक्रिप्ट कर सकते थे और निजी कुंजियाँ, सेशन कुकीज़ और पासवर्ड चुरा सकते थे।
इन हमलों ने हज़ारों सर्वरों को प्रभावित किया, जिनमें प्रमुख कॉर्पोरेट और सरकारी एजेंसियों के सर्वर भी शामिल थे। इससे उबरने में कई साल लगे, जिसमें OpenSSL को पैच करना, लाखों TLS कुंजियाँ दोबारा जारी करना, सर्टिफिकेट रद्द करना, पासवर्ड बदलना और एम्बेडेड सिस्टम अपडेट करना शामिल था।
eMudhra की समझौता की गई कुंजियाँ अत्यधिक दोषपूर्ण थीं। एक मानक NIST P-384 निजी कुंजी में 384 बिट्स की एंट्रॉपी होती है, जबकि इन कुंजियों में केवल 3 से 8 बिट्स थे। इंजीनियरों को 4, 56, 66, 115, 155, 156, 230 और 237 बिट्स की एंट्रॉपी वाली कुंजियाँ मिलीं, जो स्वीकार्य सुरक्षा सीमा से कहीं नीचे थीं।
Valsorda ने कहा, "यह संभव ही नहीं होना चाहिए।" उनका अनुमान है कि एक खतरनाक कुंजी जनरेशन इंटरफ़ेस में आकार पैरामीटर गलती से 1 पर सेट हो गया होगा। BGP.tools के Ben Cartwright-Cox ने अनुमान लगाया कि उदाहरण कोड गलती से प्रोडक्शन में लीक हो गया हो सकता है, और इस चूक को "बेतुका" बताया। यह घटना क्रिप्टोग्राफिक कार्यान्वयन और सिस्टम निगरानी में मौजूद लगातार जोखिमों को उजागर करती है।
स्रोत: Ars Technica · HeadlinesBriefing द्वारा सारांशित