اپل از مسدودسازی مجموعه‌ای از گواهی‌های دیجیتال آسیب‌پذیر شرکت هندی eMudhra خبر داده است؛ گواهی‌هایی که به دلیل یک نقص جدی در فرایند تولید کلیدهای رمزنگاری، می‌توانستند برای جعل هویت وب‌سایت‌های معتبر استفاده شوند.
براساس اطلاعیه رسمی اپل و بیانیه شرکت eMudhra، کلیدهای خصوصی هشت مرجع صدور گواهی میانی این شرکت قابل بازیابی بوده‌اند. اپل از ۱۹ اکتبر ۲۰۲۶ مسدودسازی گواهی‌های مرتبط با ارتباطات امن اینترنتی را آغاز کرده است. این اقدام به‌صورت خودکار انجام می‌شود و بیشتر کاربران آیفون، آیپد و مک نیازی به انجام کار خاصی ندارند.
ماجرای گواهی‌های امنیتی آسیب‌پذیر eMudhra چیست؟
شرکت eMudhra یکی از ارائه‌دهندگان گواهی‌های دیجیتال است که برای تأیید هویت وب‌سایت‌ها و برقراری ارتباطات رمزنگاری‌شده مورد استفاده قرار می‌گیرند.
در ۱۷ اکتبر ۲۰۲۶، یک پژوهشگر امنیتی متوجه شد که کلیدهای خصوصی هشت مرجع صدور گواهی میانی این شرکت از نظر رمزنگاری به‌شدت ضعیف هستند.
این کلیدها به‌طور معمول باید محرمانه و غیرقابل بازیابی باشند؛ اما نقص ایجادشده باعث شده بود افراد بتوانند آن‌ها را با استفاده از اطلاعات عمومی گواهی‌ها بازیابی کنند.
از هشت مرجع آسیب‌دیده، شش مورد برای صدور گواهی‌های TLS مربوط به ارتباطات امن وب و دو مورد برای امضای کد در نظر گرفته شده بودند.
چگونه یک اشتباه ساده امنیت اینترنت را تهدید کرد؟
براساس توضیحات eMudhra، مشکل به فرایند تولید کلیدها در آوریل ۲۰۲۵ بازمی‌گردد.
این شرکت اعلام کرده است که یک خطای اسکریپتی در مرحله‌ای از فرایند تولید و انتقال کلیدها، باعث ایجاد مجموعه‌ای از کلیدهای ضعیف در کنار کلیدهای اصلی شده بود.
در نهایت، کلیدهای ضعیف در سامانه‌های اعتماد مرورگرها منتشر شدند و این مشکل حدود ۱۸ ماه شناسایی نشد.
مرکز واکنش اضطراری رایانه‌ای هند نیز اعلام کرده کلیدهای آسیب‌دیده از نوع رمزنگاری منحنی بیضوی P-384 بودند؛ اما مقادیر خصوصی آن‌ها به‌اشتباه بسیار کوچک تولید شده بود.
به همین دلیل، بازیابی این کلیدها از روی کلیدهای عمومی تقریباً بلافاصله امکان‌پذیر بود.
نکته مهم اینکه استفاده از سخت‌افزارهای امنیتی مخصوص تولید کلید نیز مانع وقوع این خطا نشده بود.
مهاجمان چگونه می‌توانستند وب‌سایت‌های معتبر را جعل کنند؟
گواهی‌های TLS یکی از پایه‌های اصلی امنیت ارتباطات اینترنتی هستند.
هنگامی که کاربران به یک وب‌سایت HTTPS متصل می‌شوند، مرورگر با بررسی زنجیره گواهی‌های دیجیتال تلاش می‌کند هویت سرور را تأیید کند.
اگر مهاجم به کلید خصوصی یک مرجع صدور گواهی معتبر دسترسی داشته باشد، ممکن است بتواند برای دامنه‌های مختلف گواهی جعلی صادر کند.
در چنین شرایطی، امکان جعل هویت وب‌سایت‌ها و اجرای حملات مرد میانی وجود دارد؛ حملاتی که می‌توانند امنیت ارتباطات کاربران را تهدید کنند.
البته آسیب‌پذیری گواهی‌ها به این معنا نیست که تمام ارتباطات HTTPS یا اطلاعات کاربران افشا شده‌اند. برای سوءاستفاده عملی، شرایط دیگری نیز لازم است.
اپل ۱۲ گواهی دیجیتال را مسدود کرد
اپل در اطلاعیه رسمی خود اعلام کرده است که از ۱۹ اکتبر ۲۰۲۶ مسدودسازی ۱۲ گواهی مرتبط با شش مرجع صدور گواهی TLS آسیب‌دیده را آغاز کرده است.
دلیل وجود ۱۲ گواهی این است که هر یک از شش مرجع آسیب‌دیده، دو گواهی در زنجیره‌های اعتماد متفاوت داشتند.
یکی از این زنجیره‌ها به گواهی ریشه emSign و دیگری به گواهی‌های مورد تأیید Sectigo متصل بود.
اپل همچنین از ۲۳ اکتبر، مسدودسازی گواهی ریشه emSign ECC Root CA – G3 را آغاز کرده است.
این تغییرات از طریق داده‌های پیکربندی امنیتی به‌صورت خودکار در اختیار دستگاه‌های اپل قرار می‌گیرند.
آیا کاربران آیفون و مک باید کاری انجام دهند؟
طبق توضیحات اپل، کاربران عادی برای محافظت در برابر گواهی‌های آسیب‌دیده نیازی به تغییر تنظیمات یا نصب دستی گواهی ندارند.
مرورگر سافاری، برنامه Mail و اپلیکیشن‌هایی که از چارچوب‌های امنیتی و شبکه‌ای اپل استفاده می‌کنند، به‌طور خودکار گواهی‌های مسدودشده را رد خواهند کرد.
بااین‌حال، شرایط برای بعضی ابزارهای خط فرمان در مک متفاوت است.
ابزارهایی مانند curl، git و برخی برنامه‌های توسعه نرم‌افزار ممکن است از فایل جداگانه‌ای به نام cert.pem برای بررسی گواهی‌ها استفاده کنند.
اپل اعلام کرده این بخش نیز در یک به‌روزرسانی نرم‌افزاری آینده اصلاح خواهد شد.
مدیران سیستم در صورت نیاز می‌توانند پیش از انتشار به‌روزرسانی، اقدامات تکمیلی انجام دهند؛ اما اپل تأکید کرده بیشتر کاربران نباید این فایل را به‌صورت دستی تغییر دهند.
واکنش گوگل، مایکروسافت و موزیلا به بحران امنیتی
این مشکل تنها به محصولات اپل محدود نبوده است.
شرکت‌های گوگل، مایکروسافت و موزیلا نیز پس از اطلاع از آسیب‌پذیری، اقدامات لازم برای جلوگیری از اعتماد به گواهی‌های آسیب‌دیده را آغاز کردند.
مرورگرهای کروم و فایرفاکس از ۱۷ اکتبر مسدودسازی گواهی‌ها را شروع کردند و مایکروسافت نیز اقدامات مشابهی انجام داد.
شرکت eMudhra در ۱۸ اکتبر تمام هشت مرجع صدور گواهی آسیب‌دیده را لغو اعتبار کرد.
بااین‌حال، بعضی نرم‌افزارها و دستگاه‌های قدیمی که فهرست گواهی‌های مورد اعتماد خود را به‌روزرسانی نمی‌کنند، ممکن است همچنان در معرض خطر باشند.
آیا اطلاعات کاربران eMudhra به سرقت رفته است؟
شرکت eMudhra در تازه‌ترین اطلاعیه خود در ۲۶ اکتبر ۲۰۲۶ اعلام کرده که تاکنون شواهدی از نفوذ به زیرساخت‌ها یا افشای اطلاعات مشتریان پیدا نکرده است.
این شرکت همچنین مدعی است مراجع صدور گواهی آسیب‌دیده، گواهی نهایی مورد اعتماد عمومی برای وب‌سایت‌ها صادر نکرده بودند.
طبق توضیحات eMudhra، سرویس‌های امضای دیجیتال و خدمات سازمانی این شرکت روی زیرساخت‌های جداگانه فعالیت می‌کنند و تحت تأثیر این مشکل قرار نگرفته‌اند.
بااین‌حال، بررسی‌های امنیتی همچنان ادامه دارد و نبود شواهد نفوذ نباید با غیرممکن بودن سوءاستفاده از کلیدهای آسیب‌دیده اشتباه گرفته شود.
آینده eMudhra پس از بحران امنیتی
پیامدهای این اتفاق فراتر از مسدودسازی چند گواهی دیجیتال بوده است.
براساس گزارش رویترز، شرکت eMudhra پس از افشای این مشکل اعلام کرده قصد دارد از کسب‌وکار جهانی صدور گواهی‌های امنیت وب خارج شود.
این تصمیم نشان می‌دهد اعتماد کاربران و شرکت‌های فناوری به مراجع صدور گواهی تا چه اندازه اهمیت دارد.
ماجرای eMudhra همچنین یادآوری می‌کند که حتی یک خطای کوچک در تولید کلیدهای رمزنگاری می‌تواند امنیت زیرساخت‌های گسترده اینترنتی را تهدید کند.
در حال حاضر، اپل و دیگر شرکت‌های بزرگ فناوری اقدامات حفاظتی خود را آغاز کرده‌اند؛ اما به‌روزرسانی نرم‌افزارهای مستقل و دستگاه‌هایی که از سامانه‌های اعتماد جداگانه استفاده می‌کنند، همچنان اهمیت دارد.
دیدگاه‌ها