Danse macabre

W teorii

Gdy wchodzimy na jakąś stronę, przeglądarka internetowa rozpoznaje ją jako właściwą po certyfikacie. Ten certyfikat jest podpisany innym certyfikatem, a ten z kolei jeszcze innym. Tak wygląda drzewo wzajemnych poświadczeń, zwane też drzewem zaufania. Korzeniem tego drzewa jest zazwyczaj firma o światowej renomie, która wystawia certyfikaty, jakimi podpisane są wszystkie podrzędne. W ten sposób możemy mieć pewność, że witryna, na którą wchodzimy, jest istotnie tą, za jaką się podaje. Certyfikat jest podpisany kluczem prywatnym kryptografii asymetrycznej, dzięki czemu każdy może za pomocą dostępnego dla wszystkich klucza publicznego sprawdzić, czy treści pochodzą z tego źródła, które deklarują. Klucz prywatny korzenia powinien być zabezpieczony długim łańcuchem znaków. Przynajmniej 250, a zaleca się jeszcze dłuższe.

W praktyce

Skutkiem karygodnego zaniedbania, jeden z głównych wystawców certyfikatów uwierzytelniających, hinduska firma eMudhra, użyła zabezpieczających kluczy kryptograficznych bardzo łatwych (milisekundy) do pokonania. Długość łańcucha zabezpieczającego wynosiła 4 (CZTERY) znaki. Zdarzenie w kategorii niebezpiecznych uzyskało notę 10/10. To się jeszcze nigdy nie zdarzyło.

Przez ostatnie półtora roku każdy mógł sobie wystawić certyfikat stwierdzający, że jest firmą Google albo Microsoft, albo dowolnym bankiem lub urzędem państwowym dowolnego kraju i przeglądarka przyjęłaby to jako prawdę.

Raz

To wszystko już zostało wykryte, a firma odpowiedzialna za ten incydent na zawsze na zeszła z rynku zabezpieczeń. Felerne certyfikaty zostały umieszczone na listach odwoławczych i wydawać by się mogło, że wszystko jest w porządku.

Nie całkiem, bo np. rankiem dzisiejszego dnia (zaduszki) przeglądarka Brave dla Android akceptowała 6/14 owych certyfikatów.

Firma odpowiedzialna za to wszystko przyjęła zdarzenie na klatę i opublikowała specjalną stronę, na której można sprawdzić, czy Twoja przeglądarka (komputer, telefon) ufa certyfikatom, które zostały naruszone:

https://emudhra.we-have-a-problem.com/

Otwórz powyższy link we wszystkich przeglądarkach, z których korzystasz i zobacz, czy jakieś certyfikaty z tabeli są wciąż responsywne. 

Bo jeśli są, to bardzo źle. Natychmiast zaktualizuj tę przeglądarkę, a jeśli nadal nie przyniesie to skutku, zaprzestań z niej korzystać.

Więcej: https://youtu.be/HgwMZhuAaOI

Dwa

Oczywiście to nie wszystko.

Czy wspomniałem, że istnieją listy odwoławcze, na których umieszcza się nieważne/niebezpieczne certyfikaty, aby z nich nikt nie skorzystał? Aliści, trzeba na takie listy zaglądać. Poza przeglądarkami, aktualizacjami, serwerami, pocztą i większością usług internetowych, istnieje jeszcze mało widoczna strefa urządzeń, które mogą być sterowane przez sieć. Urządzenia te rozpoznają prawa osoby do wydawania im poleceń także za pomocą systemu certyfikatów.

Urządzenia gospodarstwa domowego. Komputery samochodów. Nawigacja. Stare, już nieaktualizowane wersje Android. Sterowniki wind. Sterowniki chłodziarek. Sterowniki świateł ulicznych. I sygnalizacji świetlnej. Wszystko, co zostało wyprodukowane w ciągu ostatniego półtora roku, powinno być sprawdzone, zaktualizowane lub wymienione na nowe.

Wyposażenie wojska też.

Konkluzja

Następne miesiące mogą być bardzo niewesołe. Już wiadomo, że certyfikaty łatwo złamać i można, podszywając się pod osoby uprawnione, wydawać polecenia, wskutek których wszystkie niezaktualizowane urządzenia ruszą w pląsy.

Dance macabre