印度的一家数字证书认证机构被曝出了名为eMudra的公司存在严重的安全问题, 具体的问题在于其私钥的随机范围极小, 其中甚至有某个密钥仅为数字"4", 而多家主流浏览器目前已经采取了紧急措施将这些相关的证书拉黑处理。
01.私钥随机范围被限制在极小整数
最近的时候, 有一群研究安全的专家们发现了这样一个事儿, 这个事儿跟一个叫作eMudra的公司有着关系, 他们手里边握着八把RSA私钥里的什么东西被限制了, 生成的范围是落在一个非常非常小的整数区间的内部, 那么这个情况, 远远低于了一千万亿万亿万亿兆的一个数, 也就是10的115次方, 这可是那个所谓的理论上的安全标准。
这个机构对外面发布了总数超过6000万张的数字证书, 这些证书覆盖到了好多行业的网站的HTTPS连接里, 因为私钥的强度不够好, 所以导致整个信任链条都存在那种系统性的风险。
02.破解难度等同小学数学题
有相关从业人员公开表示, 在对这组私钥实施攻击的情况之下, 对方根本不需要使用那种暴力穷举的笨办法, 从理论层面上进行推算的话, 最多只需要借助软件计算二百五十五次这个动作就可以把私钥给还原出来, 而且整个处理过程所花费的时间长度还不到一个一秒。
为了做一个对比, 普通用户手动打开一个带有密码锁的拉杆箱, 差不多需要接近一个小时的时间, 而破解这些私钥的操作时间, 远远短于这个时长, 所以保密性简直就是形同虚设。
03.伪造证书可窃取用户支付信息
一旦私钥发生了泄露的情况, 那么攻击者就可以去向任意的那个网站去签发一个能够让浏览器认可的合法的证书, 这样一来, 那些钓鱼的网站啊还有恶意的支付接口就获得了技术上的那个掩护了, 于是它们就可以大规模地、大举地去窃取用户的数据了。
当用户在交互的时候, 他们是无法通过浏览器的安全提示来识别风险的, 所以个人信息和支付数据就会面临大规模泄露的威胁。
04.火狐谷歌等浏览器紧急响应
在消息被曝光出来之后,像火狐以及谷歌这样的主流浏览器龙南市就业服务平台, 它们是非常迅速地就把与eMudra相关的证书给加入了黑名单中, 从而来阻止用户去访问那些使用了此类证书的站点。
但是, 现在还有非常非常多那种用了很久的老旧服务器, 以及那些没有进行更新操作的设备, 它们都仍然在信任这个机构发出的证书, 这样就形成了一个情况, 这个情况就是通过浏览器的这一侧去想办法封堵的话, 是完全堵不住的, 这就变成了一个安全方面的盲区, 而这种隐患, 它是会一直持续存在着的。
05.十月二十一日运维至暗时刻
在同一天里, 还发生了好几起安全方面的事件。这些事件包括一个关于PHP框架存在漏洞的情况, 还有一个和eMudra私钥出问题的情形混合在一起。因为这种情况比较复杂, 所以被从事这一行的人开玩笑地起名为“大四喜”。
有好几个搞运维的人都说, 那天接二连三地在处理各种安全方面的警报, 那个工作的强度远远超过了平常日子, 以至于有一部分人心里头产生了想要转行去干别的的念头。
06.印度相关技术事故引发持续调侃
在事件曝光之后, 国内的网络社区再次使用了在上个上半年发生的“印度代工厂泄露苹果设计图”这一事件中曾经出现过的表情包来进行调侃工作, 并且这张图片现在已经变成了非常通用的配图内容。
相关的讨论在短期的时间之内是难以真正降温的, 而那些被称为干啥啥不行的刻板印象, 却在印度发生了的各种技术安全事故里面不断地被加强, 不断地被强化。
你的所在的单位, 有没有还在使用那些很久都没有进行过更新了的老式的服务器呢? 请你发表一下自己的意见和建议, 让我们来进行一番讨论。
