Cloudflare: کلیدهای بسیار ضعیف eMudhra امکان جعل گواهی برای دامنه‌ها را فراهم می‌کرد

Cloudflare در گزارشی دربارهٔ ضعف کلیدهای eMudhra می‌گوید این مرجع صدور گواهی برای هشت کلید میانی، به‌جای اعداد ۱۱۵رقمیِ لازم، اعداد بسیار کوچکی ازجمله ۴، ۵۶، ۶۶، ۱۱۵، ۱۵۵، ۱۵۶، ۲۳۰ و ۲۳۷ انتخاب کرده بود. به‌گفتهٔ Cloudflare، هر کسی می‌توانست کلیدهای خصوصیِ مربوط را تقریباً بی‌درنگ از گواهی‌های عمومی بازیابی کند و برای هر دامنه گواهی جعلی بسازد؛ گواهی‌ای که ممکن بود کلاینتِ وصله‌نشده و فاقد سازوکار اعمال Certificate Transparency آن را بپذیرد.

Cloudflare می‌گوید از ۱۹ اکتبر ۲۰۲۶ وصله‌کردن سامانه‌های پرخطر را آغاز کرد و تا زمان انتشار گزارش، همهٔ سامانه‌های با اولویت بالای این شرکت وصله شده بودند. شمار کمی از موارد کم‌خطرِ تأییدشده همچنان در حال رسیدگی بود. شرکت همچنین از بررسی شواهد تلاش برای سوءاستفاده و میزان به‌روزرسانی سامانه‌های کاربران خبر داد، اما متن در دسترس جزئیاتی دربارهٔ نتیجهٔ این بررسی ارائه نمی‌کند.

eMudhra اعلام کرده است از فعالیت به‌عنوان مرجع صدور گواهی عمومی خارج می‌شود و علت را اشتباه در اسکریپت تولید کلید دانسته، اما هنوز خود اسکریپت را منتشر نکرده است. Cloudflare همچنین می‌گوید این شرکت فهرست ابطال گواهی‌ها (CRL) را ابتدا با کلیدی که شاید درست تولید شده بود امضا کرد و بعد آن را با کلید ضعیف امضا کرد. گزارش می‌گوید نقش حسابرسان و طرف‌های امضاکنندهٔ متقابل نیز همچنان نیازمند روشن‌شدن است.