eMudhra تلغي 8 جهات شهادات إضافية بعد اختراق مفاتيح أكتوبر

القصة من البداية

في 30 أبريل 2025 أنشأت eMudhra في مراسم توليد مفاتيح (Key Ceremony) 16 مفتاحاً لجهات إصدار على أجهزة HSM من Utimaco، بهدف نقلها إلى أجهزة Crypto4A في مواقعها بأمريكا وأوروبا. ولأن نقل المفاتيح بين أجهزة HSM من مصنّعين مختلفين محدود، كتب فريق الشركة سكربت Python لتغليف المفاتيح ثم فكها.

وبحسب تقرير الحادثة، قرأ السكربت كل مفتاح خاص من الـ HSM إلى ذاكرة الكمبيوتر وأعاد بناءه. وفي مفاتيح ECDSA الثمانية، قلّص سطر واحد القيمة الخاصة إلى أول بايت فقط. ورغم ذلك اجتازت الشهادات الفحص الآلي ودورتي تدقيق WebTrust دون أن يلاحظ أحد. وهذه هي المفاتيح الثمانية التي كُشفت في أكتوبر.

الجديد

المفاتيح الثمانية الجديدة من نوع RSA ولم تُضعف، لكن السكربت نفسه استخرجها من أجهزة HSM، ولا تستطيع الشركة إثبات أنها عوملت وفق قواعدها. لذلك ألغتها الأسبوع الماضي، بعد أن كتبت في 19 أكتوبر أنها غير متأثرة.

• ست منها لشهادات TLS للمواقع، واثنتان لتوقيع الكود (Code Signing).
• صدرت منها 195 شهادة، منها 29 لنطاقات الشركة نفسها.
• لا تعلم الشركة بأي إساءة استخدام.

ماذا بعد؟

بحسب جدول الشركة، يتوقف Chrome وFirefox عن الثقة بشهادات G1 الصادرة بعد 16 نوفمبر، وتنهي Apple الثقة بكل شهادات G1، القديمة منها أيضاً، في 30 نوفمبر.

ماذا تفعل؟

افحص شهادات مواقعك وبرامجك الموقّعة. وإن كانت صادرة عن eMudhra G1، فاستبدلها بشهادة من جهة أخرى قبل 30 نوفمبر.