Cloudflare-ը հայտնել է eMudhra-ի կեղծ վկայագրեր հայտնաբերելու մասին

Այս բացահայտումների միակ աղբյուրը՝ Cloudflare-ը, հոկտեմբերի 30-ի հրապարակման մեջ հայտնել է, որ նկատել է eMudhra-ի թույլ ստորագրման բանալիներով կեղծված վկայագրեր, սակայն չի գտել ապացույց, որ որևէ մեկն օգտագործել է դրանք ընկերության կապը գաղտնալսելու համար։ Դիտարկիչների առանձին փորձարկումները ցույց են տվել, որ որոշ ծրագրեր դեռ ընդունում էին խոցված վկայագրերի շղթան։

Ցանցային օպերատորը սկսել է համակարգերի շտկումը հոկտեմբերի 19-ին՝ տեղեկանալով, որ eMudhra-ին պատկանող 8 միջանկյալ ստորագրման բանալի խոցվել է։ eMudhra-ն հավաստագրման կենտրոն է․ այն տրամադրում է թվային վկայագրեր, որոնք ծրագրերը ստուգում են սերվերի ինքնությունը հաստատելու համար։ Խոցված վկայագրերին լայնորեն վստահում էին դիտարկիչները, օպերացիոն համակարգերը և հենց Cloudflare-ի համակարգերը։ Ընկերությունը հայտնել է, որ հաճախորդների սերվերներին միացող իր հիմնական միջնորդ սերվերները շտկվել են մի քանի ժամվա ընթացքում։

Cloudflare-ի խոսքով՝ ցանկացած մարդ կարող էր գրեթե ակնթարթորեն վերականգնել այդ գաղտնի ստորագրման բանալիները հանրային վկայագրերից և դրանցով ցանկացած տիրույթի համար վկայագիր ստեղծել։ Չթարմացված հաճախորդները, որոնք դեռ վստահում են այդ բանալիներին և չեն կիրառում վկայագրերի թափանցիկության պահանջը, կարող էին ընդունել կեղծված վկայագրերը։ Վկայագրերի թափանցիկության համակարգն օգտագործում է վկայագրերի հանրային մատյաններ, իսկ ստորագրված ժամանակային նշումները վկայում են, որ վկայագիրը ներկայացվել է մատյան։ Այդ պահանջի կիրառումը կարող է արգելափակել անհրաժեշտ ապացույց չունեցող կեղծ վկայագրերը։ Թուլությունն ազդում է սերվերի ինքնության հաստատման վրա, ոչ թե կապը պաշտպանող գաղտնագրման ալգորիթմների։

Ինչ են ցույց տալիս միանալու փորձերը

Հոկտեմբերի 21-ին Pingora-ում գրանցման համակարգի փուլային ներդրումն ավարտելուց հետո Cloudflare-ը գրանցել է TLS կապ հաստատելու մոտ 22 000 փորձ, որոնց ընթացքում ներկայացվել են թույլ բանալիներով ստորագրված վկայագրեր։ TLS կապի հաստատումը սկզբնական տվյալների փոխանակումն է, որով ստեղծվում է գաղտնագրված կապ և ստուգվում սերվերի ինքնությունը։ Pingora-ն մշակում է Cloudflare-ի ելքային TLS կապերի ճնշող մեծամասնությունը, բայց ոչ բոլորը։

Փորձերի երկու երրորդն ուղղված էր փորձնական կայքերից տվյալներ ստանալուն։ Մնացած մեկ երրորդի գրեթե բոլոր փորձերը հասել են սկզբնաղբյուր սերվերների՝ հաճախորդների սերվերներին, որոնց միանում է Cloudflare-ը։ Դրանք, ըստ երևույթին, իրենց վկայագրերը կազմաձևել էին թույլ միջանկյալ բանալիներով։ Վկայագրի ստուգում պահանջող կապ հաստատելու բոլոր փորձերը մերժվել են, քանի որ Cloudflare-ն արդեն շտկել էր իր համակարգերը։

Կապ հաստատելու մոտ 160 փորձի ժամանակ ներկայացված վկայագրերում նշված էին այլ կազմակերպությունների տիրույթներ, որոնք կապ չունեին միանալու պահին պահանջված սերվերի անվան հետ։ Սա կապ հաստատելու փորձերի քանակն է, ոչ թե առանձին վկայագրերի։ Անուններից մի քանիսը կապված էին սպառողական՝ ինտերնետին միացված սարքերի հետ։ Cloudflare-ը հայտնել է, որ դրանք նման էին սերվերների լռելյայն վկայագրերի․ չհամընկնող անունները չէին անցնի սերվերի անվան ստուգումը, իսկ մի քանի սերվեր նույն վկայագիրը ներկայացրել էր Cloudflare-ի բազմաթիվ վայրերից եկող կապերին։

Կեղծ վկայագրերից մեկի վրա նշված էր հոկտեմբերի 20-ը՝ 18:19 UTC [Երևանի ժամանակով՝ 22:19], Mozilla-ի սխալի մասին զեկույցի հրապարակումից մեկ ժամից էլ քիչ անց։ Cloudflare-ն այդ ժամանակային նշումը համարել է խոցելիության բացահայտումից կարճ ժամանակ անց վկայագրի կեղծման, ոչ թե գաղտնալսման ապացույց։ Ընկերությունը հայտնել է, որ իր դիտարկումները չեն բացառում խնամքով թիրախավորված գաղտնալսումը, թեև համակարգերի խոցման անուղղակի նշաններ նույնպես չի տեսել։

Ինչ են չափում դիտարկիչների փորձարկումները

Cloudflare-ն անուղղակիորեն ստուգել է վկայագրերի ընդունումը՝ իր ստուգման էջերի մի մասում զույգ փորձնական միացումներ ավելացնելով։ Սկզբում մի հասցեն ներկայացրել է eMudhra-ի ստորագրած վկայագիր, իսկ մյուսը՝ սովորական ստորագրությամբ վկայագիր՝ որպես վերահսկիչ տարբերակ։ Ընկերությունը գրանցել է, թե որ միացումներն են հաջողվել։

Չափումները ներառել են նախորդ շաբաթվա ընթացքում կատարված 50 միլիոն փորձնական միացում, սակայն ընտրանքում կասկածվող բոտերի մասնաբաժինը շատ մեծ էր, և ընդգրկված էին միայն JavaScript գործարկող հաճախորդները։ Այդ ընտրանքում, Cloudflare-ի խոսքով, ներդրված դիտարկիչներից, այդ թվում՝ Android WebView-ից, կատարված փորձնական միացումների 30–40%-ը դեռ ընդունում էր խոցված շղթան։ Այս ցուցանիշը չի բնութագրում ներդրված դիտարկիչների կամ ինտերնետի բոլոր օգտատերերին։ Թարմացված ժամանակակից դիտարկիչները հիմնականում շտկված էին, մինչդեռ հին դիտարկիչներն ու բոտերը հետ էին մնում։

Այլ խնդրի պատճառով համակարգի նախորդ տարբերակին վերադարձը հոկտեմբերի 23-ից մինչև հոկտեմբերի 27-ը ընդհատել է փորձնական միացումները։ Cloudflare-ը նաև փոխել է վկայագրերի շղթաները, հեռացրել վկայագրերի թափանցիկության ժամանակային նշումները և ավելացրել փորձնական միացումներ ստացող ստուգման էջերի մասնաբաժինը։ Հոկտեմբերի 29-ին բոտերի հայտնաբերման փոփոխության հետևանքով երթևեկությունը տեղափոխվել է մի դասակարգումից մյուսը, ինչը գծապատկերներում կարող էր շտկման տպավորություն ստեղծել, թեև վերադասակարգում էր։ Cloudflare-ի խոսքով՝ առաջին հանգստյան օրերին, չնայած դիտարկման ընդհատմանը, շտկումների ապացույցներ են նկատվել, բայց դրանից հետո փոփոխությունը փոքր է եղել։

Դեռ անհրաժեշտ են թարմացումներ և վստահության ստուգումներ

Cloudflare-ը հայտնել է, որ իր բոլոր բարձր առաջնահերթության համակարգերը շտկված են, իսկ փոքր ազդեցություն ունեցող հաստատված փոքր թվով խնդիրների շտկման աշխատանքները շարունակվում են։ Հոկտեմբերի 20-ի ավելի վաղ ուղեցույցում ընկերությունը հայտարարել էր հաճախորդային ծրագրերի և Cloudflare Tunnel-ի թարմացումների, ինչպես նաև բովանդակության առաքման, մշակողների և Zero Trust արտադրանքներում կիրառված պաշտպանական միջոցների մասին։

Cloudflare-ը հաճախորդներին խորհուրդ է տալիս Cloudflare One/WARP հաճախորդային ծրագրերը թարմացնել համապատասխան հարթակների համար թողարկված շտկված տարբերակներով, իսկ Cloudflare Tunnel-ը՝ 2026.10.2 տարբերակով։ Կոնտեյներային տեղակայումների դեպքում պետք է թարմացնել շտկված համակարգային պատկերը և վերատեղակայել այն։ Հաճախորդները պետք է նաև ստուգեն սկզբնաղբյուր սերվերների հատուկ վկայագրերը, խիստ ռեժիմի սերվերային կարգավորումները և վստահության պահոցները՝ հավաստագրման կենտրոնների այն ցանկերը, որոնք ընդունում են իրենց ծրագրերը։ Պետք է ստուգել նաև հաճախորդների վկայագրերի ստուգման համար օգտագործվող և հավելվածների կախվածությունների մեջ ներառված պահոցները։

Cloudflare-ը խորհուրդ է տալիս փորձարկել վկայագրերի ստուգման այն ընթացակարգերը, որոնք յուրաքանչյուր հավելված իրականում օգտագործում է։ Դիտարկիչն ու հետին պլանում աշխատող ծառայությունը կարող են հենվել տարբեր ծրագրային գրադարանների, օպերացիոն համակարգի կարգավորումների կամ հատուկ վստահության պահոցների վրա, ուստի դիտարկիչի հաջող փորձարկումը չի ապացուցում, որ սարքի բոլոր հավելվածները պաշտպանված են։ Ընկերությունը զգուշացնում է շտկումից հետո սխալները վերացնելու նպատակով չանջատել վկայագրերի ստուգումը, քանի որ դա վերացնում է ինքնության հաստատման այն պաշտպանությունը, որը թարմացումները վերականգնում են։

Cloudflare-ը հայտնել է, որ eMudhra-ն հայտարարել է հանրային հավաստագրման կենտրոնի գործունեությունից դուրս գալու մասին և թույլ բանալիները կապել բանալիների ստեղծման ծրագրային սցենարի սխալի հետ։ eMudhra-ն սցենարը չէր հրապարակել, իսկ Cloudflare-ի խոսքով՝ հարցեր էին մնում աուդիտորների և այն հավաստագրման կենտրոնների վերաբերյալ, որոնք համատեղ ստորագրել էին eMudhra-ի վկայագրերը՝ դրանց նկատմամբ վստահությունը տարածելով նաև իրենց միջոցով։

Cloudflare-ն առաջարկում է որոշ արտադրանքներում արդեն կիրառվող արագ հետկանչման մեխանիզմները տարածել ավելի շատ համակարգերի վրա։ Դրանք ծրագրերին թույլ կտան արագ թարմացնել վստահելի վկայագրերի և հավաստագրման կենտրոնների մասին տեղեկությունները, այդ թվում՝ հետկանչման և վկայագրերի թափանցիկության տվյալները։ Cloudflare-ի խոսքով՝ փոքր ազդեցությամբ խնդիրների շտկումը նախատեսված էր ավարտել նախորդ շաբաթվա վերջին, սակայն հաստատված խնդիրներից փոքր թվով դեպքերի շտկումը դեռ ընթացքի մեջ էր։