كلاودفلير: شهادات مزوّرة بمفاتيح eMudhra الضعيفة ظهرت خلال ساعات من الكشف عنها

كشفت كلاودفلير في متابعة تقنية جديدة أن المفاتيح الثمانية الضعيفة التي ولّدتها جهة الشهادات eMudhra استُخدمت فعلاً في تزوير شهادات بعد ساعات من الكشف عنها، وأن نسبة كبيرة من العملاء ما زالت تثق بها. وكانت الشركة قد علمت بالمشكلة في 19 أكتوبر 2026، وهي أن أحد المفاتيح هو الرقم 4 نفسه، أما بقية المفاتيح فهي 56 و66 و115 و155 و156 و230 و237.

ما الذي رصدته كلاودفلير؟#

أضافت الشركة تسجيلاً في Pingora، الخدمة المسؤولة عن معظم الاتصالات الصادرة عبر TLS من خوادمها، وانتهى نشره في 21 أكتوبر. وبعد أسبوع تقريباً سُجّلت نحو 22,000 محاولة اتصال بمفاتيح eMudhra الضعيفة. ثلثا المحاولات كانت لمواقع اختبار، ومعظم الثلث الباقي وجّه إلى خوادم يبدو أن أصحابها أنشؤوا شهادة لأنفسهم بالمفتاح الوسيط الضعيف. ورُفضت كل محاولة اتصال مضبوطة على التحقق من الشهادة، لأن كلاودفلير رقّعت أنظمتها مسبقاً.

برزت نحو 160 محاولة لأن أسماء النطاقات البديلة في شهاداتها تخص جهات أخرى غير النطاق المطلوب، وبعضها نطاقات مرتبطة بأجهزة إنترنت الأشياء الاستهلاكية. وكانت هذه الشهادات قد أُنشئت بعد تسرّب المفاتيح، وبعضها صالح لأكثر من سنتين، وهي مدة تتجاوز ما يُسمح لأي جهة إصدار عامة بإصداره. وأقدم ما رُصد منها مؤرّخ في 20 أكتوبر الساعة 18:19 بالتوقيت العالمي، أي بعد أقل من ساعة من نشر بلاغ Mozilla. غير أن هذه الشهادات بدت شهادات افتراضية للخوادم نفسها لا محاولات اعتراض، ولم ترصد كلاودفلير حتى الآن دليلاً على استخدام المفاتيح لاعتراض اتصالاتها.

كم زائراً ما زال معرّضاً؟#

لا يمكن اختبار ثقة الزائر بهذه المفاتيح مباشرة دون قطع اتصاله، فاستخدمت كلاودفلير صفحات التحدي لإرسال فحصين على نسبة من الصفحات: واحد إلى نقطة تحمل شهادة موقّعة من eMudhra، وآخر إلى نقطة ضابطة بشهادة عادية. وخلال أسبوع جُمعت 50 مليون عملية فحص. المتصفحات الحديثة المحدّثة رُقّعت في معظمها، أما الروبوتات والمتصفحات القديمة فلا. وما زالت نسبة 30–40% من المتصفحات المضمّنة، مثل Android WebView، تقبل الشهادات. وعبر الشبكات الكبيرة ما زال أكثر من نصف الفحوص يقبل السلسلة المخترقة، ولم يتغير الاتجاه كثيراً بعد عطلة الأسبوع الأولى. وتنبّه كلاودفلير إلى أن حركة هذه الصفحات منحازة بسبب كثرة الروبوتات غير المؤكدة، وأن تقدير نسبة التحديث ليس دقيقاً.

ماذا يعني هذا لك؟#

• رقّع الأنظمة التي تثق بهذه المفاتيح، خصوصاً أجهزة المطورين على macOS، واتبع التعليمات المجمّعة في الموقع الذي أعدّه Dennis Jackson.
• إن كنت عميلاً لكلاودفلير وتستخدم منتجات مثل WARP أو Tunnel، فراجع المقال السابق للشركة لمعرفة ما يلزمك.
• لا تفترض أن برمجياتك المؤتمتة، من روبوتات وأدوات زحف وتطبيقات تضمّن متصفحاً، محدّثة. فالبيانات تُظهر أن هذه الفئات من أبطأ من يستجيب للتحديث.
• إن كان لخوادمك شهادة موقّعة من eMudhra فاستبدلها، لأن الاتصالات المضبوطة على التحقق ترفضها الأنظمة المرقّعة.

وتشير كلاودفلير إلى أن مخازن الثقة ينبغي ألا تبقى قوائم ثابتة، بل أن تقبل التحديث السريع بمعلومات الإلغاء ومفاتيح شفافية الشهادات، وتذكر مشروع upki مثالاً على ذلك.

المصدر: Cloudflare — 4 real? Tracking exploitation and patching of eMudhra’s weak keys