A korábbi CERT-In igazgató és India első nemzeti kibervédelmi koordinátora, Gulshan Rai átfogó auditot és ideiglenes licence-felfüggesztést követel az indiai eMudhra-működésre vonatkozóan, miután a vállalat globális digitális tanúsítvány üzletágában biztonsági résre derült fény. A kifogásolt eset nyomán az indiai számítógépes vészhelyzeti reagálási csapat, a CERT-In október 21-én biztonsági figyelmeztetést adott ki.
Mi történt?
A CERT-In szerint az incidens nyolc közbenső (intermediate) tanúsítványhoz kapcsolódó privát kriptográfiai kulcsok előállításánál nem volt elegendő véletlenszerűség. Ennek következményeként ezek a kulcsok kis effektív kulcstérrel rendelkeztek, és elméletileg visszafejthetők vagy kitalálhatók voltak, ami lehetővé tehette volna hamisított webes biztonsági tanúsítványok létrehozását, legitim oldalak megszemélyesítését és az titkosított kommunikációk befogását vagy megzavarását.
„Given what we have seen with eMudhra's global business, they must be audited and scrutinised for their Indian operations,”
Az incidens eredetileg október 17-én egy biztonsági kutató bejelentéséből vált ismertté, aki jelezte, hogy a szóban forgó tanúsítványok privát kulcsai rendkívül kis hatékony kulcstérrel jellemezhetők, így azok gyakorlatilag azonnal kitalálhatók lehetnek.
Gyors reagálás a böngészőgyártóktól és ajánlások
A felfedezést követően a fő böngészőszállítók — Google, Mozilla és Apple — lépéseket tettek: a problémás tanúsítványokat blokkolták vagy megbízhatatlanná nyilvánították, hogy megakadályozzák a felhasználók biztonságának közvetlen veszélyeztetését. Emellett a CERT-In ajánlásokat adott ki az érintetteknek:
- frissítsék az érintett szoftvereket és rendszereket,
- ellenőrizzék tanúsítványfüggőségeiket,
- frissítsék a tanúsítvány-megbízhatósági tárakat (trust store),
- cseréljék ki a veszélyeztetett tanúsítványokat, ahol szükséges.
Miért súlyos ez a probléma?
A digitális tanúsítványok és azok privát kulcsai a titkosított internetes forgalom alapját képezik: ha ezek kompromittálódnak, harmadik felek képesek lehetnek titkosított adatfolyamokat lehallgatni vagy a felhasználókat hamis szolgáltatások felé irányítani. Különösen aggályos ez olyan szolgáltatásoknál, amelyek szoros integrációban állnak állami és pénzügyi rendszerekkel — bejelentések szerint az eMudhra érintett üzletága globális, és kapcsolódik több fontos digitális szolgáltatáshoz.
Gulshan Rai hangsúlyozta, hogy az eMudhra indiai működését külön kell ellenőrizni, mivel a céghez köthető szolgáltatások közvetlenül érinthetnek alapvető ügyintézési folyamatokat (például azonosítási vagy adóbevallási rendszerekhez kapcsolódó hitelesítések).
Lehetséges következmények és teendők
A jelenlegi lépések elsősorban kármentesítő jellegűek: a megbízhatatlanná nyilvánított tanúsítványok érvénytelenné tétele megakadályozza a közvetlen visszaéléseket, ugyanakkor a bizalom visszaállítása hosszabb folyamat lehet. A következő lépések közé tartozhatnak:
- átfogó, független audit az érintett műveletekre és kulcsgenerálási eljárásokra,
- szigorúbb felügyeleti intézkedések vagy ideiglenes licence-felfüggesztés addig, amíg az audit nem zárul le,
- széles körű kulcs- és tanúsítványcsere a kockázatok minimalizálására,
- az iparági gyakorlatok felülvizsgálata, különös tekintettel a kriptográfiai véletlenszám-generátorok ellenőrzésére.
| Időpont | Esemény |
|---|---|
| október 17. | biztonsági kutató bejelentése |
| október 21. | CERT-In figyelmeztetés |
Az ügy ráirányítja a figyelmet a hitelesítési láncok sebezhetőségére és arra, hogy a kulcsgenerálás, mint látszólag technikai részlet, valójában kritikus biztonsági elem. A helyzet azonnali és átlátható reagálást kíván meg mind a szolgáltatóktól, mind a felügyeleti szervektől annak érdekében, hogy a felhasználók és intézmények bizalma ne sérüljön tovább.
