إيمودرا تنسحب من أعمال شهادات TLS بعد فشل كارثي في توليد المفاتيح

أعلنت سلطة الشهادات إيمودرا ليميتد (eMudhra Limited) انسحابها من أعمال SSL/TLS العالمية هذا الأسبوع، بعد يومين من كشف باحثين أمنيين عن فشل جوهري في عملية توليد المفاتيح. احتوت ثمانية شهادات متوسطة صادرة تحت جذر ECC الخاص بالشركة على مفاتيح خاصة بإنتروبي تتراوح بين 3 و 8 بتات فقط — انحراف مذهل عن قوة 384 بت المطلوبة بمعايير المنحنى الإهليلجي NIST P-384. كان أضعف مفتاح هو العدد الصحيح 4 حرفياً.

تحرك بائعو المتصفحات بما في ذلك كروم، فايرفوكس، وسافاري خلال 48 ساعة لإلغاء الثقة في الشهادات المتسلسلة إلى الشهادات المتوسطة المخترقة. كان من المتوقع على نطاق واسع أن يسحب منتدى CA/المتصفح، الذي يحكم قواعد قبول سلطات الشهادات، حالة ثقة جذر إيمودرا. في بيان الانسحاب، استشهد الرئيس في. سرينيفاسان بتكاليف الامتثال، ومساهمة الإيرادات الضئيلة (حوالي 1%)، والمنافسة من مزودين مجانيين مثل Let's Encrypt — مع الشكوى أيضاً من أن "تضخيم وسائل التواصل الاجتماعي" جلب تدقيقاً غير متناسب.

ما الذي حدث في مراسم المفتاح

وفقاً لإفصاح إيمودرا الخاص، نشأت المفاتيح المعيبة من مراسم توليد مفتاح (KGC) عقدت في 30 أبريل 2025، باستخدام وحدات HSM بمستوى FIPS 140-2 المستوى 3. أدى خلل في عملية لف/فك لف إلى إنتاج مجموعة ثانية من المفاتيح الضعيفة بجانب المفاتيح القوية المقصودة — وتم نشر المجموعة الضعيفة عن غير قصد في مخازن جذر المتصفح. المراسم، المصممة لتكون طقساً عالي الضمان، تحولت بدلاً من ذلك إلى نقطة فشل كارثية واحدة.

بالنسبة للمؤسسات التي تشغل أعباء عمل ذكاء اصطناعي معجلة بوحدات GPU، تؤكد هذه الحادثة درساً حاسماً في سلسلة التوريد: لا يمكن افتراض الثقة في البنية التحتية التشفيرية. نقاط نهاية خدمة النماذج، عقد التعلم الموحد، وسجلات الحاويات تعتمد جميعها على TLS للسلامة. يمكن لسلطة شهادات مخترقة أن تقوض مصدر النماذج، خصوصية البيانات، والامتثال التنظيمي عبر خط أنابيب الذكاء الاصطناعي بأكمله.

تسلط حلقة إيمودرا الضوء أيضاً على التركيز المتزايد للثقة في مجموعة متقلصة من سلطات الشهادات — والمخاطر النظامية عندما تحل الأتمتة محل الإشراف البشري الصارم في مراسم المفاتيح. مع توسع بنية الذكاء الاصطناعي التحتية، يتوسع سطح الهجوم في PKI الأساسي الخاص بها.