ثماني شهادات TLS مخترقة تثير حالة استنفار أمني عالمي

فرق الأمن حول العالم في حالة استنفار قصوى بعد اكتشاف ثماني شهادات TLS وسيطة صادرة عن جهة التصديق الهندية eMudhra Limited. المفاتيح الخاصة الداعمة لهذه الشهادات ضعيفة للغاية لدرجة أن أي شخص يمتلكها يمكنه إصدار بيانات اعتماد موثوقة للمتصفح لأي نطاق على الإنترنت.

اعتباراً من صباح الثلاثاء، ألغت شركات المتصفحات الرئيسية، وبيئات التشغيل، وتوزيعات لغات البرمجة الثقة في جميع الشهادات الوسيطة الثماني. سجلات شفافية الشهادات لا تظهر أي دليل على إصدار ضار حتى الآن، لكن نافذة الاستغلال تظل مفتوحة حتى يتم تحديث كل مخزن ثقة.

لماذا ستتجاوز عملية التنظيف أزمة Heartbleed

يحذر مهندس التشفير فيليب فالسوردا أن جهود المعالجة ستتجاوز أزمة Heartbleed عام 2014 من حيث النطاق والمدة. إلى جانب الخوادم والتطبيقات، الجذور المخترقة مخبأة في عدد لا يحصى من أجهزة إنترنت الأشياء، صور Docker الأساسية، تثبيتات Linux القديمة، وأدوات سطر الأوامر التي تشحن مخازن ثقة خاصة بها — نظم Python البيئية مثال بارز. كل من هذه السياقات يتطلب إجراءً منسقاً من مسؤولين ومورّدين ومُحافظين مختلفين.

لماذا يهم هذا البنية التحتية لـ GPU / الذكاء الاصطناعي: تعتمد مجموعات تدريب الذكاء الاصطناعي وخدمات الاستدلال على TLS المصادق عليه متبادلاً لتقديم النماذج، وسلامة خطوط أنابيب البيانات، والعزل متعدد المستأجرين. قد تتيح شهادة مزورة هجمات رجل في المنتصف على أوزان النماذج، أو تسريب مجموعات البيانات، أو وصول غير مصرح به إلى واجهات برمجة تطبيقات تنسيق GPU. يجب على المشغلين تدقيق مخازن الثقة، وتدوير الشهادات، والتحقق من أن صور الحاويات وخطوط أنابيب التوفير على المعدات المعدنية تسحب حزم CA المحدثة.

توزيعات Linux لا تزال تطرح حزم ca-certificates المحدثة؛ يجب على المسؤولين إعطاء الأولوية لتطبيق هذه التحديثات عبر جميع عقد الحوسبة، وأجهزة الحافة، وأدوات CI/CD. الطبيعة غير المتجانسة للبنية التحتية الحديثة للذكاء الاصطناعي — التي تمتد عبر السحابة، والمحلي، والحافة — تجعل التغطية الشاملة صعبة بشكل خاص.