کلید خصوصی گواهی میانی eMudhra تنها عدد ۴ از آب درآمد

گواهی میانی «EM OV TLS CA - G3C» متعلق به eMudhra پس از افشای کلید خصوصی آن باطل شده است. نکته تکان‌دهنده این رخداد آن است که مقدار کلید خصوصی این گواهی مبتنی بر منحنی بیضوی، تنها عدد ۴ بوده؛ مقداری که بازسازی کلید را به کاری بسیار ساده تبدیل می‌کرد.

#کلید خصوصی eMudhra چگونه افشا شد؟

فایل‌های منتشرشده در گزارش فنی گواهی eMudhra در GitHub Gist، خود گواهی و کلید خصوصی آن را در قالب PEM نشان می‌دهند. در همان صفحه، نمونه‌کدی نیز ارائه شده که با مقدار ۴ کلید خصوصی را بازسازی می‌کند و سپس تطابق کلید عمومی حاصل با کلید عمومی گواهی را می‌سنجد.

بر اساس یادداشت خبرنگار، این گواهی حدود یک سال و نیم معتبر بوده و سه روز پیش به‌دلیل افشای کلید خصوصی باطل شده است. گزارش منتشرشده در شبکه اجتماعی ایکس نیز منشأ طرح این موضوع بوده است.

#چرا عدد ۴ برای یک گواهی میانی خطرناک است؟

گواهی میانی در زنجیره اعتماد TLS برای صدور گواهی‌های دیگر به کار می‌رود. در نتیجه، دسترسی به کلید خصوصی آن می‌تواند امکان صدور گواهی‌هایی را فراهم کند که در چارچوب همان زنجیره معتبر به نظر برسند. طبق یادداشت خبرنگار، هر فردی که از مقدار ۴ بودن این کلید اطلاع داشت، می‌توانست برای وب‌سایت‌های مختلف گواهی TLS صادر کند.

این رخداد اهمیت حفاظت از کلیدهای خصوصی و انتخاب مقادیر غیرقابل حدس را در زیرساخت صدور گواهی‌های دیجیتال برجسته می‌کند. با این حال، دامنه واقعی سوءاستفاده احتمالی و جزئیات رسمی زمان و نحوه ابطال در متن استخراج‌شده مشخص نشده است.