یک نقص امنیتی بزرگ در شرکت تکنالوژی هندی eMudhra می‌توانست به مهاجمان اجازه دهد تا گواهی‌نامه‌های دیجیتال را جعل کرده، وب سایت‌ها را تقلید کنند و میلیاردها کاربر را هدف قرار دهند. این شرکت که گواهی‌های دیجیتال برای تایید اعتبار وب سایت‌ها صادر می‌کند، فاش کرد که کلیدهای رمزنگاری خصوصی «ضعیف» مربوط به هشت «گواهی‌نامه میانی» آن به خطر افتاده است.
این کلیدهای خصوصی که در ۳۰ اپریل ۲۰۲۵ ایجاد شده بودند، به دلیل یک نقص در فرایند تولید، در کنار کلیدهای «قوی» اصلی، با یک مجموعه دوم از کلیدهای بسیار ضعیف همراه شدند. به گفته eMudhra در یک بیانیه مطبوعاتی، این کلیدها که باید قدرتی معادل ۱۱۶ رقم (۳۸۴ بیت) داشته باشند، در مواردی به اندازه عدد «چهار» کوچک بودند.
این مشکل در آخر هفته توسط یک محقق مستقل با نام مستعار «وین» کشف شد. او با مهندسی معکوس و احتمالاً با استفاده از تکنیک‌های مبتنی بر هوش مصنوعی، این کلیدهای ضعیف را کشف کرد و بلافاصله شرکت‌های بزرگ مرورگر مانند اپل، گوگل، مایکروسافت و موزیلا را مطلع ساخت.
این محقق برای اثبات ادعای خود، یک سایت آزمایشی به نام «emudhra.we-have-a-problem.com» ایجاد کرد و روز سه‌شنبه پیامی با امضای دیجیتال یکی از کلیدهای به خطر افتاده در آن منتشر کرد. این اقدام زنگ خطر را در سراسر جهان به صدا درآورد.
پس از این افشاگری، شرکت‌های مرورگر، فروشندگان سیستم عامل و شرکت‌های زیرساخت وب مانند Cloudflare به سرعت برای انتشار به روزرسانی‌ها و مسدود کردن هشت گواهی‌نامه میانی مذکور اقدام کردند. این گواهی‌نامه‌ها می‌توانستند برای جعل هویت هر دامنه‌ای که توسط میلیون‌ها سرور در سراسر جهان مورد اعتماد است، استفاده شوند.
کارشناسان هشدار می‌دهند که اگرچه اقدام سریع شرکت‌های تکنالوژی از یک فاجعه بالقوه جلوگیری کرد، اما خطر ممکن است هنوز به طور کامل برطرف نشده باشد و کاربران باید از به روز بودن نرم افزارهای خود اطمینان حاصل کنند.
منبع: بیانیه مطبوعاتی eMudhra
🌐
