8 TLS सर्टिफिकेट से इंटरनेट अलर्ट
मूल शीर्षक: The Internet goes on high alert after discovery of 8 compromised TLS certs
यह क्यों महत्वपूर्ण है
Intermediate certificates से किसी भी domain के लिए trusted credentials बनाए जा सकते हैं — यह पूरे web की trust chain को प्रभावित करता है।
भारतीय CA eMudhra Limited के 8 intermediate TLS certificates की private keys इतनी कमज़ोर पाई गईं कि कोई भी किसी भी साइट के लिए trusted credentials बना सकता था। मंगलवार को browser makers ने सभी 8 certificates ब्लॉक कीं।
मंगलवार को सुरक्षा विशेषज्ञों में हड़कंप तब मचा जब पता चला कि भारत स्थित certificate authority eMudhra Limited के 8 intermediate TLS certificates की private keys इतनी कमज़ोर हैं कि उन्हें कोई भी आसानी से हासिल कर सकता है। emudhra.we-have-a-problem.com पर एक अनौपचारिक advisory प्रकाशित हुई, जिसमें रिपोर्टर ने उन्हीं certificates की private key से डिजिटल हस्ताक्षर कर यह साबित किया कि उनके पास key का नियंत्रण है। इससे यह स्पष्ट हो गया कि कोई दुर्भावनापूर्ण व्यक्ति उन keys का उपयोग करके दुनिया भर के लाखों servers पर trusted unauthorized certificates जारी कर सकता था।
देर सुबह तक browser makers, कुछ प्रमुख apps और programming languages ने सभी 8 intermediate certificates ब्लॉक कर दिए। certificate transparency logs में अभी तक इन compromised keys के दुर्भावनापूर्ण उपयोग का कोई प्रमाण नहीं मिला है।
हालांकि, cryptography engineer और Go programming language के cryptography maintainer Filippo Valsorda ने Ars Technica को बताया, "यह Heartbleed से भी बड़ा cleanup job होगा।" उन्होंने IoT devices, Docker containers, पुरानी Linux machines, और unmaintained CLI tools का उल्लेख किया जो अपनी खुद की roots की copy ship करते हैं। Linux distributions अभी updates जारी कर रही हैं और system administrators को बड़े पैमाने पर उन्हें लागू करना होगा।
2014 के Heartbleed की तुलना में इस बार स्थिति अधिक जटिल मानी जा रही है क्योंकि इसमें अधिक संदर्भ, अधिक लोग और अधिक विविधता शामिल है। Heartbleed की recovery में वर्षों लगे थे और उसमें OpenSSL patching, लाखों TLS keys reissuing और embedded devices को update करना शामिल था।