Aktualizacja 2 – Indyjska firma eMudhra wywołuje globalny alarm z powodu luk bezpieczeństwa i wycofuje się z działalności związanej z bezpieczeństwem stron internetowych

Dodaj cytaty i szczegóły do całego tekstu

Abhirami G

Reuters, 22 października - Firma cyfrowego bezpieczeństwa eMudhra (EMUD.NS) wycofuje się z wystawiania certyfikatów cyfrowych dla globalnych stron internetowych, w tym stron podatkowych Indii. Wcześniej główni producenci przeglądarek zablokowali te certyfikaty z powodu luk bezpieczeństwa, co wywołało globalne obawy dotyczące cyberbezpieczeństwa.

W czwartek firma ogłosiła tę decyzję, po tym, jak giganci technologiczni, tacy jak Google GOOGL.O, Apple AAPL.O i Microsoft MSFT.O przestali ufać jej certyfikatom SSL/TLS— certyfikatom wykorzystywanym do szyfrowania transmisji danych między użytkownikiem a stroną internetową, aby uniemożliwić hakerom przechwytywanie informacji.

Luki te zostały ujawnione w ubiegły weekend, kiedy niezależny badacz cyberbezpieczeństwa odkrył, że kilka głównych certyfikatów eMudhra jest podatnych na ataki.

Klienci eMudhra to szerokie grono — od gigantów z branży IT, takich jak Infosys (INFY.NS) i TCS (TCS.NS) po instytucje rządowe, a jej certyfikaty chronią wiele kluczowych stron, w tym indyjski portal podatku dochodowego.

„Certyfikaty eMudhra są szeroko uznawane na świecie, a tego typu luki wywołały globalny kryzys zaufania w cyberbezpieczeństwie” – powiedział Mredul Sarda, założyciel firmy Causal Security z San Francisco.

eMudhra poinformowała w oświadczeniu, że luka ta nie została wykryta w ciągu ostatnich 18 miesięcy, a dwukrotna kontrola audytorska nie wykazała nieprawidłowości.

Współzałożyciel Kaushik Srinivasan przekazał Reutersowi, że słabość wynikała z wygenerowania przez eMudhra w kwietniu zeszłego roku ośmiu kluczy, które zostały przez jej oprogramowanie nienależycie skrócone, co w znacznym stopniu obniżyło bezpieczeństwo.

Klucz kryptograficzny to ciąg znaków używany do szyfrowania i deszyfrowania danych przez odpowiednie algorytmy. Jednak klucze eMudhra były zbyt krótkie, przez co szyfrowanie można było łatwo złamać.

„Jeśli choć jedna instytucja certyfikująca zostanie złamana, atakujący może podszyć się pod każdą stronę internetową” — mówi niezależny konsultant, starszy wykładowca i badacz gościnny w Department of War Studies King's College London, Lukasz Olejnik.

Chociaż przeglądarki szybko zablokowały te zagrożone certyfikaty, rzadziej aktualizowane urządzenia podłączone do sieci mogą wciąż być zagrożone. „Miliony starszych urządzeń mogą pozostawać narażone przez wiele lat, a nawet na zawsze, ponieważ nadal będą ufały tym certyfikatom” – dodał Olejnik.

Indyjski Zespół Reagowania na Incydenty Komputerowe oświadczył w środę, że część pośrednich certyfikatów eMudhra została ujawniona.

eMudhra poinformowała, że odwołała osiem certyfikatów, ale podkreśliła, że jej infrastruktura pozostała nietknięta, a żadne dane nie wyciekły.

Firma podkreśliła, że uwaga mediów społecznościowych spotęgowała dysproporcjonalny nadzór wobec tej części działalności, stanowiącej tylko 1% dochodów firmy.

Reakcja inwestorów była gwałtowna – w ciągu dwóch dni od ujawnienia luki akcje eMudhra spadły o 40%.

(Aby ułatwić czytelnikom niebędącym rodzimymi użytkownikami języka angielskiego, Reuters automatycznie tłumaczy swoje raporty na kilka innych języków. Ze względu na możliwość błędów automatycznego tłumaczenia, ograniczeń kontekstowych lub nieścisłości, Reuters nie gwarantuje dokładności takiego tłumaczenia. Tłumaczenia te mają charakter wyłącznie pomocniczy i Reuters nie ponosi odpowiedzialności za szkody lub straty wynikające z korzystania z funkcji automatycznego tłumaczenia.)