eMudhra TLS certificates: భారత కంపెనీ జారీ చేసిన TLS సర్టిఫికెట్లలో లోపాలు.. వెబ్‌సైట్లకు ముప్పు!
ఈ వార్తాకథనం ఏంటి
ఇంటర్నెట్‌ భద్రతపై సైబర్‌ సెక్యూరిటీ నిపుణులు ఆందోళన వ్యక్తం చేస్తున్నారు. ఎనిమిది బలహీనమైన ట్రాన్స్‌పోర్ట్‌ లేయర్‌ సెక్యూరిటీ (TLS) సర్టిఫికెట్లను గుర్తించడం తీవ్ర కలకలం రేపింది. ఈ సర్టిఫికెట్లకు సంబంధించిన ప్రైవేట్‌ కీలు చాలా బలహీనంగా ఉండటంతో.. వాటిని ఉపయోగించి ఇంటర్నెట్‌లోని ఏ వెబ్‌సైట్‌కైనా బ్రౌజర్లు, యాప్‌లు విశ్వసించే నకిలీ సెక్యూరిటీ సర్టిఫికెట్లను సృష్టించే ప్రమాదం ఉందని నిపుణులు హెచ్చరిస్తున్నారు. ఈ పరిణామం ఆన్‌లైన్‌ కమ్యూనికేషన్లు, డిజిటల్‌ లావాదేవీల భద్రతపై తీవ్ర ప్రభావం చూపే అవకాశం ఉంది.
వివరాలు
ఎనిమిది సర్టిఫికెట్లను బ్లాక్‌ చేసిన బ్రౌజర్లు
ఈ భద్రతా లోపాలు వెలుగులోకి రావడంతో పలు బ్రౌజర్‌ తయారీ సంస్థలు, ప్రముఖ యాప్‌లు, ప్రోగ్రామింగ్‌ భాషల నిర్వాహకులు తక్షణ చర్యలు చేపట్టారు.
ప్రమాదకరంగా గుర్తించిన ఎనిమిది ఇంటర్మీడియట్‌ సర్టిఫికెట్లను బ్లాక్‌ చేశారు.
దీంతో ఆయా సర్టిఫికెట్లను ఉపయోగించి నకిలీ గుర్తింపులను సృష్టించే అవకాశాలను అడ్డుకునే ప్రయత్నం చేశారు. అయితే బ్రౌజర్లు, యాప్‌లలో తీసుకున్న చర్యలతోనే సమస్య పూర్తిగా పరిష్కారం కాదని నిపుణులు చెబుతున్నారు.
లైనక్స్‌ ఆపరేటింగ్‌ సిస్టమ్‌ పంపిణీలు (Linux distributions), ఇంటర్నెట్‌ ఆఫ్‌ థింగ్స్‌ (IoT) పరికరాలు వంటి వ్యవస్థల్లో ఇంకా భద్రతా లోపాలు ఉండే అవకాశం ఉంది.
ముఖ్యంగా సాఫ్ట్‌వేర్‌ అప్‌డేట్లు అందని పాత పరికరాలను సురక్షితం చేయడం పెద్ద సవాలుగా మారవచ్చని అంచనా వేస్తున్నారు.
వివరాలు
భారత్‌కు చెందిన eMudhra జారీ చేసిన సర్టిఫికెట్లు
ఈ ఎనిమిది ప్రమాదకర ఇంటర్మీడియట్‌ సర్టిఫికెట్లను భారత్‌కు చెందిన సర్టిఫికెట్‌ అథారిటీ ఈముద్రా లిమిటెడ్‌ (eMudhra Limited) జారీ చేసినట్లు సమాచారం.
ఈ సర్టిఫికెట్లకు సంబంధించిన ప్రైవేట్‌ కీలలో ఉన్న తీవ్రమైన బలహీనతలే ప్రస్తుతం ఆందోళనకు కారణమయ్యాయి.
ఈ సమస్యను వెల్లడిస్తూ `emudhra.we-have-a-problem.com` అనే వెబ్‌సైట్‌లో అనధికారిక హెచ్చరికను ప్రచురించారు.
అందులో "We have a problem here - Wayne" అనే సందేశాన్ని పొందుపరిచారు. ఈ సందేశానికి ఈముద్రా సర్టిఫికెట్లలోని ఒక ప్రైవేట్‌ కీతో డిజిటల్‌ సంతకం చేశారు.
దీంతో ఆ సందేశాన్ని ప్రచురించిన వ్యక్తి లేదా వర్గం వద్ద ఆ ప్రైవేట్‌ కీ ఉన్నట్లు నిరూపితమైందని నివేదిక పేర్కొంది.
వివరాలు
హార్ట్‌బ్లీడ్‌ సంక్షోభం కంటే పెద్ద సమస్యగా మారుతుందా?
ఓపెన్‌ సోర్స్‌ గో (Go) ప్రోగ్రామింగ్‌ భాష నిర్వహణలో కీలక పాత్ర పోషిస్తున్న క్రిప్టోగ్రఫీ ఇంజినీర్‌ ఫిలిప్పో వాల్సోర్డా (Filippo Valsorda) ఈ ఘటనపై హెచ్చరికలు జారీ చేశారు.
ఈ సమస్య పరిష్కారానికి చేపట్టాల్సిన చర్యలు 2014లో ప్రపంచవ్యాప్తంగా కలకలం రేపిన 'హార్ట్‌బ్లీడ్‌' (Heartbleed)ఇంటర్నెట్‌ భద్రతా సంక్షోభం కంటే పెద్దవిగా మారవచ్చని ఆయన అభిప్రాయపడ్డారు.
ప్రభావితమైన అన్ని వ్యవస్థలకు భద్రతా అప్‌డేట్లు అందించడం, వాటిలోని ప్రమాదకర సర్టిఫికెట్లను తొలగించడం చాలా సమయం తీసుకునే ప్రక్రియగా మారుతుందని ఆయన పేర్కొన్నారు.
ముఖ్యంగా ఐఓటీ పరికరాలు, నిర్వహణ నిలిచిపోయిన పాత లైనక్స్‌ కంప్యూటర్లను అప్‌డేట్‌ చేయడం కష్టతరమని వివరించారు.
కొన్ని లైనక్స్‌ పంపిణీల్లో ఇప్పటికీ భద్రతా అప్‌డేట్లను విడుదల చేసే ప్రక్రియ కొనసాగుతోందని వాల్సోర్డా పేర్కొన్నారు.
వివరాలు
ప్రైవేట్‌ కీలలో కేవలం 3-8 బిట్ల ఎంట్రోపీ!
దీంతో ఇంటర్నెట్‌లోని అన్ని ప్రభావిత వ్యవస్థలను పూర్తిస్థాయిలో సురక్షితం చేయడానికి మరింత సమయం పట్టే అవకాశం ఉంది.
ఈ ఘటనలో అత్యంత ఆందోళన కలిగిస్తున్న అంశం ప్రైవేట్‌ కీల బలహీనత. క్రిప్టోగ్రఫీలో ఎంట్రోపీ (Entropy) అనేది ఒక కీ ఎంతవరకు ఊహించలేనిదిగా ఉందో సూచించే కొలమానం.
సాధారణంగా బలమైన కీని ఊహించడం లేదా దాన్ని ఛేదించడం చాలా కష్టంగా ఉంటుంది.
ఉదాహరణకు, ఎన్‌ఐఎస్‌టీ (NIST) ప్రమాణాలకు అనుగుణంగా ఉండే P-384 ఎలిప్టిక్‌ కర్వ్‌ క్రిప్టోగ్రఫీ ప్రైవేట్‌ కీకి సుమారు 384 బిట్ల ఎంట్రోపీ ఉంటుంది. అంటే సిద్ధాంతపరంగా దాదాపు \\(2^{384}\\) అవకాశాలుంటాయి.
వివరాలు
నకిలీ సర్టిఫికెట్లను రూపొందించడం చాలా సులభం
అయితే, ఈముద్రా సర్టిఫికెట్లలో గుర్తించిన ప్రైవేట్‌ కీల ఎంట్రోపీ కేవలం 3 నుంచి 8 బిట్ల మధ్య ఉన్నట్లు నివేదికలు వెల్లడించాయి.
ఇంత తక్కువ ఎంట్రోపీ ఉండటంతో ఆయా కీలను ఊహించడం, వాటిని ఉపయోగించి నకిలీ సర్టిఫికెట్లను రూపొందించడం చాలా సులభమయ్యే ప్రమాదం ఉంది.
ఈ అసాధారణ పరిస్థితికి కారణమేంటనే దానిపై నిపుణులు అనుమానాలు వ్యక్తం చేస్తున్నారు.
కీలు రూపొందించే ఇంటర్‌ఫేస్‌లో లోపం ఉండటం లేదా పరీక్షల కోసం ఉపయోగించే ఉదాహరణ కోడ్‌ పొరపాటున వాస్తవ వ్యవస్థల్లోకి వెళ్లడం వంటి కారణాలు ఉండవచ్చని భావిస్తున్నారు.
అయితే ఈ లోపానికి అసలు కారణం ఏమిటన్నది స్పష్టంగా నిర్ధారణ కాలేదు.
వివరాలు
VPN వినియోగదారులకు తక్షణ ముప్పు?
ప్రస్తుతం ఈ ప్రమాదకర సర్టిఫికెట్ల వల్ల తక్షణ ముప్పు ఎదుర్కొనే వారిలో VPN (Virtual Private Network) వినియోగదారులు కూడా ఉండవచ్చని నిపుణులు భావిస్తున్నారు.
ముఖ్యంగా ప్రభుత్వాలు ఇంటర్నెట్‌ ట్రాఫిక్‌ను అనధికారికంగా పర్యవేక్షించే లేదా అడ్డగించే అవకాశం ఉన్న దేశాల్లో ఈ సమస్య మరింత ఆందోళన కలిగించవచ్చు. అయితే, చాలా బ్రౌజర్లు ఇప్పటికే ప్రమాదకర ఇంటర్మీడియట్‌ సర్టిఫికెట్లను బ్లాక్‌ చేశాయి.
ఆర్స్టెక్నికా (Ars Technica) నివేదిక ప్రకారం, ఆ కథనం రాసే సమయానికి విండోస్‌ 10లోని మైక్రోసాఫ్ట్‌ ఎడ్జ్‌ (Microsoft Edge) మాత్రం మినహాయింపుగా ఉంది.
అది ఇంకా భద్రతా లోపాలకు గురయ్యే 12 హోస్ట్‌లకు కనెక్ట్‌ అవుతున్నట్లు నివేదిక పేర్కొంది.