الأمن السيبراني11‏/11‏/2026، 5:07 م UTC·2 دقائق قراءة

تقرير eMudhra: سكربت Python معيب أضعف المفاتيح الخاصة للشهادات

يحمّل تقرير eMudhra سكربت Python داخلياً مسؤولية اقتطاع المفاتيح الخاصة لثماني شهادات وسيطة، أحدها اختُزل إلى بايت واحد.

Digital padlock over lines of Python code symbolizing a weakened cryptographic key in a certificate authority breach. — الصورة: The Indian Express

أعلنت شركة eMudhra الهندية، وهي جهة إصدار شهادات رقمية، أن سبب الحادثة الأمنية التي أثارت ضجة واسعة هو خطأ في سكربت Python كتبه مهندسوها أنفسهم. وبحسب التقرير الكامل الذي نشرته الثلاثاء 10 نوفمبر، أضعف السكربت المفاتيح الخاصة المستخدمة في توقيع ثماني شهادات وسيطة، وقلّص أحدها إلى بايت واحد.

كيف وقع الخطأ

في مراسم توليد المفاتيح بتاريخ 30 أبريل 2025، جرى توليد 16 زوجاً من المفاتيح الوسيطة بشكل صحيح على وحدة أمان عتادية (HSM): ثمانية من نوع ECDSA ضمن سلسلة الجذر G3، وثمانية من نوع RSA ضمن سلسلة G2. ولنقلها إلى منشآت الشركة في الولايات المتحدة والاتحاد الأوروبي، كتب فريق عمليات PKI سكربتاً يغلّف كل مفتاح في كتلة مشفرة ثم يفكها في الوجهة.

بعد فك التغليف، قرأ السكربت قيمة المفتاح من ذاكرة المضيف قراءة خاطئة وأنشأ بها كائن مفتاح جديداً، فاقتُطعت القيم وصارت المفاتيح أضعف بكثير من القوة المقبولة البالغة 384 بت. ويذكر التقرير أن ذلك كان بروفة للنقل الفعلي في يوليو 2025، وأن وضع FIPS على وحدة HSM المصدر كان معطلاً أثناءها. وعمل السكربت على جهاز معزول ولم يكن جزءاً من برنامج emCA.

وكان باحث مستقل باسم مستعار «Wayne» قد استخرج المفاتيح قبل نحو شهر، فكان أصغرها «4» وأكبرها «237». وحظرت غوغل ومايكروسوفت وآبل وموزيلا الشهادات الثماني، وأصدرت شركات مثل Cloudflare تحديثات. وحذّر الفريق الهندي CERT-In من أن مهاجماً قد يصدر شهادات TLS وشهادات توقيع شيفرة مزورة.

معلومات جديدة

كشفت eMudhra لأول مرة أنها ألغت في 7 نوفمبر 2026 ثمانية أزواج إضافية من مفاتيح RSA، بعدما كانت قد قالت إن RSA غير متأثرة. فالسكربت لم يقتطع هذه المفاتيح، لكن خصائصها الخاصة بقيت في ذاكرة عملية Python على حاسوب المراسم، ولم تستطع الشركة إثبات التعامل معها وفق قواعدها الداخلية.

ومن بين 195 شهادة للكيانات النهائية، أصدرت جهة EM DV TLS CA – G2C الملغاة 130 شهادة، شملت نطاقات جامعات ومقاطعة ومنشآت أخرى منها eMudhra نفسها. وتصف الشركة النقل بأنه حالة لمرة واحدة، مرتبطة بتغيّر سياسات مخازن الجذور اعتباراً من 15 يونيو 2025 وموعد التصديق المتبادل مع Sectigo وتأخر سلاسل التوريد. وتؤكد أن وحدات HSM عملت بشكل سليم وأن الخلل في السكربت وضوابط العملية. وبعد أيام من الأزمة أعلنت انسحابها من سوق الشهادات العالمي والتركيز على خدمات التوقيع الرقمي داخل الهند.