În universul digital de astăzi, securitatea online este ca o ușă încuiată la casa ta: nu-i dai multă atenție până când cineva o lasă descuiată. Recent, o astfel de „ușă descuiată” a stârnit agitație în lumea tehnologiei, iar povestea are ca protagonistă compania indiană eMudhra, unul dintre furnizorii de certificate digitale care asigură siguranța comunicațiilor pe internet.
Totul a început când cercetătorii au descoperit că eMudhra emisese opt certificate digitale esențiale pentru funcționarea securizată a site-urilor web și a emailurilor, dar cu o problemă majoră: cheile lor private erau atât de slabe încât puteau fi sparte aproape instantaneu. Pentru a înțelege gravitatea situației, trebuie să știți că aceste chei ar trebui să fie imposibil de ghicit sau reprodus, conținând de obicei sute de biți de informație aleatorie. În cazul eMudhra, unele chei aveau doar 4 biți – adică oricine cu minime cunoștințe tehnice le putea descoperi în fracțiuni de secundă.
O astfel de scăpare nu este doar o gafă tehnică, ci o amenințare directă la adresa siguranței tuturor utilizatorilor care depind de aceste certificate pentru a naviga, a trimite emailuri sau a folosi dispozitive inteligente. Practic, oricine putea folosi aceste chei compromise pentru a crea certificate false, care ar fi fost acceptate de browserele populare și de multe alte sisteme informatice. Este ca și cum cineva ar putea copia cheia de la orice ușă dintr-un oraș, fără ca nimeni să observe.
După ce problema a ieșit la iveală, marii producători de browsere au reacționat rapid și au blocat certificatele suspecte, pentru a limita potențialele pagube. Însă, pentru eMudhra, consecințele au fost mai serioase: compania și-a anunțat retragerea din afacerea globală de certificate SSL/TLS (folosite pentru securizarea conexiunilor online). Motivul invocat a fost că această ramură aducea doar 1% din veniturile lor, iar costurile și complexitatea regulilor de conformitate au crescut mult în ultimii ani. În plus, apariția organizațiilor care oferă astfel de certificate gratuit (precum Let’s Encrypt) a făcut ca investiția să nu mai merite efortul.
Totuși, eMudhra a recunoscut că amploarea reacțiilor din mediul online a depășit cu mult importanța reală a acestei activități în cadrul companiei. Incidentul a pornit de la o „ceremonie” de generare a cheilor digitale, desfășurată cu echipamente specializate (Hardware Security Modules – dispozitive care ar trebui să protejeze cu strictețe astfel de date sensibile). Un defect în acest proces a făcut ca, pe lângă cheile corecte, să fie create și chei slabe, iar acestea au ajuns din greșeală să fie folosite.
Povestea eMudhra ne reamintește cât de fragilă poate fi uneori infrastructura pe care ne bazăm zilnic, dar și cât de rapidă poate fi reacția comunității tehnologice atunci când apare un pericol. Într-o lume în care tot mai multe aspecte ale vieții noastre sunt digitalizate, vigilența și responsabilitatea companiilor care asigură securitatea online devin mai importante ca oricând. Poate că această întâmplare va face ca atât utilizatorii, cât și furnizorii de servicii, să privească cu mai multă atenție ce se află „sub capotă” atunci când vine vorba de siguranța digitală.
Sursa: Ars Tehnica Technology
Revista “Ştiinţă şi Tehnică“, cea mai cunoscută şi longevivă publicaţie de popularizare a ştiintelor din România
Leave a Reply