جوجل تزيل شهادة eMudhra الجذرية بعد اكتشاف مفاتيح ضعيفة

أزالت جوجل في 27 أكتوبر شهادة eMudhra الجذرية المعروفة باسم emSign ECC Root CA – G3 من مخزن الجذور في متصفح كروم. وبدأت المواقع التي ما زالت تعتمد عليها بعرض تحذير أمني بملء الشاشة لمستخدمي كروم.

يأتي القرار بعد أحداث وقعت في منتصف أكتوبر. فقد أظهر باحث أن المفاتيح الخاصة لثماني جهات إصدار شهادات ضمن التسلسل العالمي لشركة eMudhra، أكبر جهة تصديق مرخصة في الهند ومقرها بنغالور، ضعيفة إلى حد يتيح لأي شخص استنتاجها. وكان يفترض أن يبلغ طول كل مفتاح نحو 116 رقماً، لكن المفاتيح الثمانية جميعها كانت أقل من 256.

خطأ في مراسم توليد المفاتيح

تم توليد المفاتيح في مراسم واحدة بتاريخ 30 أبريل 2025. وتشترط قواعد القطاع أن تجري هذه المراسم وفق نص مكتوب، وبمراقبة مدقق مؤهل أو تسجيل مرئي، وأن تختتم بتقرير تدقيق. وتقول eMudhra إن خللاً في النص أنتج مجموعة ثانية ضعيفة من المفاتيح، واستُخدمت عن طريق الخطأ بسبب تشابه التسميات. وبقي الخلل دون اكتشاف نحو 18 شهراً عبر دورتي تدقيق. ووصف المؤسس المشارك كاوشيك سرينيفاسان الحادثة بأنها «يوم سيئ لمرة واحدة». ومن المتوقع صدور تقرير المدقق خلال أسبوعين إلى ثلاثة.

وبعد بلاغ الباحث في 17 أكتوبر تحركت شركات المتصفحات بسرعة. حجبت جوجل ست شهادات مواقع عبر CRLSet، وفعلت موزيلا ذلك خلال ساعات، وأصدرت أبل تحديثاتها في 19 أكتوبر ومايكروسوفت في 20 أكتوبر. وفي 20 أكتوبر أزالت موزيلا الجذر G3 من قائمة الجهات الموثوقة، وأزاله كروم اعتباراً من 27 أكتوبر، وهو يدرس ما إذا كان ينبغي الإبقاء على بقية جذور eMudhra. وذكر كروم أن أي شهادة موقع من الوسيطات الست لم تظهر في سجلات Certificate Transparency العامة قبل الحجب.

الخروج من TLS وأسئلة المساءلة

خلال خمسة أيام من البلاغ قرر مجلس إدارة eMudhra الانسحاب كلياً من أعمال شهادات TLS العالمية، بما يشمل الجذر G1. وتقول الشركة إن هذا النشاط يسهم بنحو 1% من إيراداتها. وتواصل الشركة، المدرجة في بورصتي BSE وNSE منذ 2022، تقديم التوقيعات الرقمية وخدمات eSign في الهند.

أما الاستجابة داخل الهند فكانت أبطأ بوضوح. فقد شكلت وزارة تكنولوجيا المعلومات (MeitY) فريقاً خاصاً للتحقيق، وأصدرت CERT-In تنبيهاً بعد أربعة أيام من البلاغ الأول. ويبقى السؤال مطروحاً: من يحاسب جهات التصديق في الهند، وأي قواعد ربما جرى خرقها، وما العقوبات المحتملة.