חברת אבטחת המידע ההודית eMudhra כשלה בהגנה על מפתחות הצפנה המשמשים לאימות אתרי אינטרנט. בעקבות חשיפת המחדל נשלל האמון בתעודות הפגיעות שהנפיקה, החברה הודיעה על סיום פעילותה הבינלאומית בתחום ומנייתה התרסקה בכ־40% בתוך יומיים. גוגל, אפל ומיקרוסופט נאלצו להתערב לאחר שהתברר כי הכשל נמשך כשנה וחצי וחמק משתי ביקורות אבטחה. הפרשה מעלה שאלות קשות גם על מנגנוני הפיקוח של ענקיות הטכנולוגיה, וחייבת להדאיג כל אדם המחזיק חשבון בנק, כרטיס אשראי או מידע אישי באינטרנט.
והפרט הבלתי נתפס: אחד ממפתחות ההצפנה הסודיים היה המספר 4 בלבד. חוקר אבטחה הצליח לשחזר שמונה מפתחות פרטיים חלשים במיוחד, שישה מהם קשורים לתעודות אבטחה לאתרי אינטרנט ושניים לחתימת תוכנה. מפתחות שאמורים להיות בלתי ניתנים לניחוש התגלו כפגיעים באופן קיצוני.
לספרה 4 משמעות מיוחדת בסין: הגייתה במנדרינית דומה למילה ״מוות״, ולכן היא נחשבת למבשרת רעות. בבניינים רבים מדלגים על הקומה הרביעית. האירוניה כמעט מושלמת: הספרה המסמלת מוות בתרבות הסינית שימשה כמפתח סודי במערכת שנועדה להגן על החיים הדיגיטליים. אין ראיה למעורבות האקרים סינים או לחבלה מכוונת. החברה מייחסת את הכשל לתקלה פנימית ביצירת המפתחות.
איך פועלת האבטחה שכשלה? כאשר אנחנו נכנסים לאתר בנק, הדפדפן מבקש מהשרת להוכיח את זהותו. השרת מציג תעודה דיגיטלית הכוללת מפתח ציבורי וחתימה של גורם מוסמך. הדפדפן בודק שהחתימה תקפה ושהתעודה שייכת לכתובת המבוקשת. רק לאחר מכן נוצר חיבור מוצפן, המסומן בדרך כלל בסמל המנעול.
מאחורי החתימה עומד צמד מפתחות מתמטיים: מפתח ציבורי, שכל אחד רשאי לראות, ומפתח פרטי, שאמור להישמר בסוד מוחלט. המפתח הפרטי מאפשר לגוף המוסמך לחתום על תעודות ולהעיד שהן אמינות. בדרך כלל מדובר במספר עצום שנוצר באקראי, כך שכמעט בלתי אפשרי לחשב אותו מתוך המפתח הציבורי.
כאן בדיוק התרחש הכשל: חלק מהמפתחות הפרטיים נוצרו ממספרים קטנים וצפויים, ובהם 4. המשמעות אינה שהצפנת כל התקשורת באינטרנט הייתה מבוססת על הספרה 4. מדובר במפתחות חתימה של גורמים בשרשרת האמון. מי שמצליח לשחזר מפתח כזה עלול להנפיק באמצעותו תעודות הנחזות לאמיתיות. כך נשברת ההוכחה שהדפדפן אמור לסמוך עליה.
הסכנה המעשית: תוקף שמחזיק במפתח הפגיע ומצליח גם לנתב אליו את התקשורת עלול להתחזות לאתר אמיתי. למשל, ברשת אלחוטית ציבורית שנשלטת בידי גורם עוין, אדם עלול להיכנס לאתר הנחזה לבנק שלו ולמסור סיסמה, פרטי אשראי או קוד אימות, בעוד הדפדפן מקבל את התעודה המזויפת.
גניבת סיסמה עלולה לאפשר השתלטות על חשבונות נוספים, וחשיפת פרטי תשלום עלולה להוביל להונאה. עם זאת, אין ראיה שהחולשה נוצלה בפועל בפרשה הנוכחית, והחברה טוענת שלא התרחשה דליפת מידע.
השאלה המטרידה היא כיצד כשל כה בסיסי חמק משתי ביקורות אבטחה. האם הבדיקות היו שטחיות? האם הסתמכו על הצהרות החברה במקום לבדוק את המפתחות עצמם? ומי אחראי לפקח על הגופים שמנפיקים את תעודות האמון של האינטרנט?
בעקבות החשיפה הפסיקו ענקיות הטכנולוגיה לתת אמון בתעודות הרלוונטיות. אתרים המשתמשים בהן נדרשים להחליפן, ומכשירים שאינם מקבלים עדכוני אבטחה עלולים להמשיך לסמוך על תעודות שנפסלו.
מה חייבים לעשות עכשיו? לעדכן את מערכת ההפעלה והדפדפן בכל מכשיר, לא להתעלם מאזהרות ״החיבור אינו פרטי״, ולהיכנס לחשבונות בנק ושירותים רגישים דרך האפליקציות הרשמיות או כתובות מוכרות ולא באמצעות קישורים בהודעות. מומלץ להפעיל אימות דו־שלבי ולעקוב אחר עסקאות וכניסות חריגות. מי שהזין פרטים באתר שעורר אזהרת אבטחה צריך להחליף סיסמה באמצעות מכשיר מעודכן ולבדוק את פעילות החשבון.
בעלי טלפונים ישנים, מחשבים שאינם מתעדכנים ומערכות ארגוניות מיושנות חשופים במיוחד. עם זאת, אין סיבה להפסיק להשתמש בבנקאות מקוונת או להחליף את כל הסיסמאות ללא חשד קונקרטי לפגיעה.
הפרשה אינה רק כישלונה של חברה הודית. היא חושפת את התלות העמוקה של העולם במערכת אמון שרוב המשתמשים אינם יודעים כיצד היא פועלת. הגולש רואה סמל מנעול ומניח שמישהו בדק את כל מה שצריך. עכשיו מתברר שגם מי שאמור לבצע את הבדיקה עלול להחמיץ מחדל בסיסי במשך שנה וחצי.
בעולם שבו הכסף, הזהות והמידע האישי שלנו מאוחסנים ברשת, האבטחה חשובה לא פחות מהמנעול שעל דלת הבית. אלא שבמקרה הזה, המפתח הסודי התגלה כספרה אחת שכל ילד מכיר: 4.
״עניין מרכזי״
חדשות וסקופים מאז 1999
