eMudhra i PHP nisu sami, posljednja 24 sata su bili apsolutni haos za internet
Nedavni poremećaji u kibernetičkoj sigurnosti utjecali su na globalnu digitalnu infrastrukturu, što je istaknuto kritičnim ranjivostima u PHP programskom jeziku i slabim sigurnosnim praksama indijskog ovlaštenja za certifikat eMudhra. PHP Foundation je objavio hitnu zakrpu za dvije greške poznate kao PHP2Shell, koje omogućuju neovlašten pristup web poslužiteljima; ove ranjivosti, otkrivene AI modelom, utječu na otprilike 70% web stranica prema W3Tech-u. Kao odgovor, američka Agencija za nacionalnu sigurnost i FBI savjetovali su organizacijama da odmah primjene ispravke ili isključe sustave, što je dovelo do prekidanja vladinih web stranica u zemljama kao što su Finska i Nizozemska. Istovremeno, eMudhra je identificiran kao korištenje privatnih ključeva od jednog bajta za izdavanje digitalnih certifikata, ozbiljna slabost koja je omogućila istraživaču da brzo povrati ključeve i stvori lažne certifikate. Ti incidenti su se dogodili tijekom Mjeseca svijesti o kibernetičkoj sigurnosti, što je potaknulo široku pozornost na rizike koje predstavljaju zastarjeli softver i neadekvatni kriptografski standardi.
Vlada je naredila specijalnom timu da istraži kritični sigurnosni propust u eMudhra Ltd, ovlaštenju za potvrdu iz Bengalura kojem vjeruju vodeći globalni preglednici. Istraga je uslijedila nakon otkrića da je osam srednjih sigurnosnih certifikata koje je izdala tvrtka sadržavalo privatne ključeve koji su bili toliko slabi da su mogli biti vraćeni za manje od sekunde. Google, Mozilla, Apple i Microsoft blokirali su pogođene certifikate, dok sigurnosni stručnjaci upozoravaju da će čišćenje posljedica biti dugotrajan i težak proces zbog zastarjelog softvera i hardvera koji se još uvijek oslanja na ugrožen lanac povjerenja.
Ranjivost proizilazi iz ceremonije stvaranja ključeva održane 30. travnja 2025. Privatni ključevi za te certifikate trebali su biti nasumični brojevi dužine otprilike 116 znamenki, pružajući 384 bita kriptografske snage. Umjesto toga, ključevi su bili jednostajni brojevi u rasponu od 1 do 256. Konkretno, osam ugroženih ključeva identificirano je kao 4, 56, 66, 115, 155, 156, 230 i 237. Budući da jedan bajt nudi samo 256 mogućih vrijednosti, istraživači su bili u mogućnosti da brute-silom ključeve gotovo odmah. Sigurnosni istraživač poznat kao Wayne upozorio je industrijske kolege na grešku 17. listopada.
Ovaj dokaz koncepta pokazao je da svatko tko posjeduje ove ključeve može falsificirati pouzdane certifikate za bilo koju web stranicu, omogućujući napadačima da se predstavljaju kao legitimni poslužitelji, presretnu podatke ili ukradu povlastice. E-Mudhra, kompanija koja posluje kao Certificate Authority, u srijedu je objavila da je greška u ceremoniji stvaranja ključeva uzrokovala da je korak za omatanje i otvaranje prouzročio proizvodnju drugog seta slabih ključeva uz originalne jake. Tvrtka je pojasnila da su slabi ključevi oni objavljeni u izvornim skladištima preglednika. E-Mudhra je tvrdio da njegova osnovna infrastruktura nije ugrožena i da nije bilo kršenja podataka.
U tom je pogledu Komisija primjetila da su indijski digitalni potpisi i e-potpisi poslovali na zasebnoj infrastrukturi i da to nije utjecalo na njih. U skladu s tim, Komisija je utvrdila da je u skladu s člankom 4. stavkom 2. točkom (b) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (c) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (b) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (c) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (b) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (c) osnovne uredbe, u skladu s člankom 5. stavkom 2. točkom (b) osnovne uredbe. Međutim, E-Mudhra je priznao da je jedan od osam pogođenih certifikata upotrijebljen u proizvodnji, iako nije naveo koji. Ministarstvo elektronike i informacijske tehnologije (MeitY) je saopćilo da je ozbiljno shvatilo incident i formiralo je tim za istragu.
Ministarstvo je opisalo utjecaj na indijske web stranice i aplikacije kao vrlo ograničen i kratkotrajan. Također je kritizirao određene naloge na društvenim mrežama zbog izazivanja straha u vezi s povredom. Ova procjena je u oštoj suprotnosti s savjetom koji je kasnije istog dana izdao indijski tim za računalne hitne situacije (CERT-In). CERT-In je opisao ključeve kao nedovoljno šifrirane slučajnosti i upozorio da ih napadači mogu koristiti za presretanje ili mijenjanje komunikacije, što bi potencijalno dovelo do krađe akreditivnih podataka, neovlaštenog otkrivanja osjetljivih informacija i financijske prijevare.
Agencija je pozvala vladine odjele, pružatelje internetskih usluga, proizvođače softvera i administratore web stranica da odmah ažuriraju svoje sustave i liste pouzdanih certifikata. CERT-In je izričito uputio korisnike da ne zaobilaze upozorenja o validaciji certifikata ili onemogućuju provjeru certifikata. Globalni odgovori na incident bili su brzi. Do kasnog jutra u utorak, Apple, Google i Mozilla su blokirali kompromitirane certifikate u Safariju, Chromeu i Firefoxu.
Dennis Jackson, uključen u odgovor Mozille, opisao je eMudhra ključeve kao trivijalne za iskorištavanje, napomenuvši da je šest od pogođenih certifikata bilo za TLS i da im vjeruju Chrome, Mozilla, Microsoft i Apple root programi. alati, nazvali su situaciju ludom, sugerirajući da je to vjerojatno primjer kod koji je slučajno procurio u proizvodnju. Sigurnosni stručnjaci izrazili su duboku zabrinutost zbog dugoročnih implikacija. Filippo Valsorda, inženjer za jezik Go, upozorio je da bi se napori za čišćenje mogli usporediti ili premašiti razmjere greške Heartbleed iz 2014.
Napomenuo je da, iako se preglednici mogu brzo ažurirati, zakrpanje zaboravljenih Linux uređaja, pametnih kućnih uređaja za Internet stvari i alata za pozadinske poslužitelje potrajat će znatno vrijeme. Yash Kakadia, osnivač tvrtke za kibernetičku sigurnost Security Brigade, istaknuo je da se utjecaj proširuje na IoT uređaje koji se ne zakrpe često. Izvještaj o incidentu iz Mozille navodi da incident omogućuje čak i tehnički nesophisticiranim pojedincima da lako povrate privatne ključeve, što predstavlja prijetnju velikog utjecaja na lanac povjerenja globalnog interneta.
Nekoliko indijskih vladinih web stranica, uključujući one koje upravlja Indijska uprava za jedinstvenu identifikaciju (UIDAI) za Aadhaar i portal za podnošenje poreza na dohodak, koristi eMudhra certifikata ili srodnu tehnologiju. Istorijski gledano, globalni pretraživači su bili oprezni u povjerenju indijskim izvornim certifikatima nakon lažnih certifikata koje je 2014. izdao Nacionalni informacijski centar. E-Mudhra ostaje jedini indijski izvorni certifikat koji je trenutno pouzdan u svijetu. Nema naznaka da su sami korenski certifikati E-Mudhrine, koji se nalaze iznad kompromitiranog nivoa, prekršeni.
Prema posljednjim izvješćima, evidencije transparentnosti ne pokazuju dokaze da su slabi ključevi korišteni za izdavanje zlonamjernih certifikata, iako to ne isključuje zloupotrebu izvan izdavanja certifikata vidljivog u pregledniku. Napad koji koristi te certifikate zahtijevao bi poziciju protivnika u sredini, kao što je kontrola lokalne Wi-Fi mreže. Korisnicima se savjetuje da osiguraju da su njihovi web preglednici, operativni sustavi i sigurnosne aplikacije ažurirani na najnovije verzije.
Idi na primarne izvore (1)
Službeni izvori na kojima se izvještavanje temelji. Pročitaj ih izravno da zaobiđeš uokvirivanje.
Osam privatnih kriptografskih ključeva koje koristi eMudhra Ltd., digitalna sigurnosna tvrtka sa sjedištem u Bengaluruu, procurila je, podižući značajnu zabrinutost za sigurnost weba. Ti se ključevi koriste za izdavanje SSL/TLS certifikata, koji su ključni za osiguranje online komunikacije. Ključevi su imali kritičnu ranjivost: koristili su brojeve između 1 i 256 umjesto potrebne 384-bitne enkripcije, što ih je učinilo izuzetno jednostavnim za pogoditi. Glavne tvrtke za preglednike poput Googlea (Chrome), Mozille, Microsofta i Applea bile su upozorene i poduzele su korake za ukidanje povjerenja u kompromitirane certifikate. eMudhra je izjavio da je samo jedan od pogođenih srednjih certifikata bio u aktivnoj uporabi, a da nisu izdane nikakve certifikata krajnjih korisnika koristeći pogrešne ključeve. Međutim, stručnjaci upozoravaju da bi IoT uređaji, koji se često teško ažuriraju, mogli i dalje biti ranjivi.
Procjena pristranosti (Sredina): U članku se prikazuje tehničko kršenje sigurnosti koje uključuje privatnu tvrtku čije proizvode koriste vladine i javne jedinice. Iako incident ima nacionalne implikacije, članak se i dalje fokusira na tehničke aspekte ranjivosti, odgovor eMudhra-e i savjete stručnjaka.
Zašto činjenice (95): The article provides specific details about the leaked keys including the number of keys (eight), the company involved (eMudhra Ltd.), and the nature of the vulnerability (keys being between 1 and 256 instead of 384-bit). These facts align with the cross-source consensus and appear well-supported.
Zašto objektivnost (90): The article presents the information in a largely neutral manner, focusing on technical aspects and quoting experts like Dennis Jackson from Mozilla. It avoids overtly biased language but does include some descriptive terms like 'extraordinary development' and 'glaring flaw,' which slightly lean tow
India TodayNeovisanSredinaČinjenice 95Objektivnost 90
Kritična sigurnosna ranjivost otkrivena je u osam srednjih digitalnih certifikata koje je izdao indijski certifikatni organ eMudhra. Ovi certifikati sadrže iznimno slabe ključeve šifriranja, u rasponu od 3 do 8 bita, koji su znatno manje sigurni od standardnih 384-bitnih ključeva. Istraživač sigurnosti po imenu Wayne pokazao je slabost stvaranjem web stranice koja je koristila digitalno potpisanu poruku da istakne grešku. Stručnjaci upozoravaju da bi ta greška mogla omogućiti napadačima da krivotvori pouzdane certifikate, potencijalno ugrožavajući korisničke podatke. Velike tehnološke tvrtke kao što su Apple, Google i Mozilla brzo su blokirale kompromitirane certifikate, dok su stručnjaci za kriptografiju izrazili zabrinutost zbog opsežnog čišćenja, uspoređujući ga s Heartbleedom iz 2014. godine. Iako još nije potvrđena nikakva zlonamjerna uporaba, rizik ostaje zbog mogućnosti iskorištavanja putem napada "čovjek-u-sredini".
Procjena pristranosti (Sredina): Članak se fokusira na tehničko pitanje kibernetičke sigurnosti koje uključuje standarde šifriranja i ne uključuje se u političke rasprave, politike ili brojke. Ona pruža uravnoteženo objašnjenje ranjivosti, reakcije stručnjaka i napora za ublažavanje bez očiglednog ideološkog uokvirenja.
Zašto činjenice (95): The article accurately describes the discovery of weak cryptographic keys used by eMudhra, citing the specific bit sizes (3–8 bits) and referencing the researcher 'Wayne' who demonstrated the vulnerability. The comparison to the Heartbleed bug is reasonable given the potential scale of the issue. Ho
Zašto objektivnost (90): The article maintains a largely neutral tone, presenting facts and expert reactions without overt bias. The term 'shockingly weak' introduces some subjective language but does not strongly influence the overall neutrality. The description of the situation as 'bonkers' is a direct quote from Ben Cart
India TodayNeovisanSredinaČinjenice 95Objektivnost 85
Indijska tvrtka za kibernetičku sigurnost pod nazivom eMudhra suočava se s značajnim pregledom nakon što je otkriveno da osam digitalnih certifikata koje je izdala sadrže izuzetno slabe privatne ključeve. Ove mane omogućile su napadačima da povrate ključeve za manje od sekunde, potencijalno im omogućujući da krivotvori lažne sigurnosne certifikate i predstavljaju legitimne poslužitelje. Velike tehnološke tvrtke kao što su Apple, Google, Microsoft i Mozilla poduzele su korake za blokiranje pogođenih certifikata, dok su platforme poput Cloudflare implementirale sigurnosne zakrpe. Iako još nema potvrđenih napada, incident je izazvao zabrinutost o tome kako je takva temeljna sigurnosna ranjivost bila zanemarena i koliko bi moglo potrajati da se problem u potpunosti riješi na globalnom nivou. eMudhra djeluje kao certifikatno tijelo, izdavajući digitalne certifikate koji pomažu preglednicima da provjere autentičnost web stranica, čime je njegova uloga ključna za sigurnost interneta.
Procjena pristranosti (Sredina): Članak se fokusira na tehničko pitanje kibernetičke sigurnosti koje uključuje privatnu tvrtku i njezine digitalne ranjivosti certifikata. Ne spominju se političke ličnosti, politike ili stranačke perspektive. Sadržaj ostaje usmjeren na tehničke aspekte greške i njezine implikacije za web
Zašto činjenice (95): Accurately reports the compromise of eight keys, the involvement of major tech companies, and the lack of evidence for active exploitation. The claim that keys could be recovered in 'less than a second' aligns with the primary source's description of the flaw being 'trivial to exploit.'
Zašto objektivnost (85): Uses slightly dramatic phrasing like 'internet security scare' and 'meltdown,' but remains largely informative and balanced in explaining the technical context.
eMudhra Ltd, s sjedištem u Bengaluruu, ovlašteno tijelo kojem vjeruju vodeći globalni preglednici, generiralo je slabe kriptografske ključeve za osam sigurnosnih certifikata zbog greške u procesu generiranja ključa. Ova greška je omogućila bilo kome da potencijalno izvede tajne ključeve u sekundi, omogućujući izdavanje lažnih digitalnih identiteta za bilo koju web stranicu, uključujući banke i vladine portale. Velike tehnološke tvrtke kao što su Google, Mozilla, Apple i Microsoft povukle su pogođene certifikate kako bi ublažile rizike. Indijsko ministarstvo elektronike i informacijske tehnologije (MeitY) formiralo je specijalni tim za istragu incidenta, navodeći da je utjecaj na domaće usluge bio ograničen, dok su društvene mreže optužili za izazivanje straha. Sigurnosni stručnjaci upozoravaju da će čišćenje biti složeno i dugotrajno, posebno utječući na zastarjele sustave poput rutera i platnih terminala koji se rijetko ažuriraju.
Procjena pristranosti (Sredina): Članak održava neutralni ton, zasnovan na činjenicama, u vezi s značajnim kršenjem kibernetičke sigurnosti koje uključuje nacionalni entitet i vladinu reakciju. Dok se predmetna tema odnosi na državnu regulaciju i korporativnu odgovornost, izvješćivanje uravnotežava tehnička objašnjenja, korporativne izjave i
Zašto činjenice (95): Accurately states the government investigation, the blocking of certificates, and the specific example of a key being the number 4. Correctly notes the lack of evidence for misuse.
Zašto objektivnost (80): Uses strong descriptors like 'so poorly' and 'flimsy,' and quotes experts expressing alarm. While factually grounded, the tone leans towards emphasizing the severity and negative implications more than a purely neutral summary would.
India TodayNeovisanSredinaČinjenice 15Objektivnost 40
Nedavni poremećaji u kibernetičkoj sigurnosti utjecali su na globalnu digitalnu infrastrukturu, što je istaknuto kritičnim ranjivostima u PHP programskom jeziku i slabim sigurnosnim praksama indijskog ovlaštenja za certifikat eMudhra. PHP Foundation je objavio hitnu zakrpu za dvije greške poznate kao PHP2Shell, koje omogućuju neovlašten pristup web poslužiteljima; ove ranjivosti, otkrivene AI modelom, utječu na otprilike 70% web stranica prema W3Tech-u. Kao odgovor, američka Agencija za nacionalnu sigurnost i FBI savjetovali su organizacijama da odmah primjene ispravke ili isključe sustave, što je dovelo do prekidanja vladinih web stranica u zemljama kao što su Finska i Nizozemska. Istovremeno, eMudhra je identificiran kao korištenje privatnih ključeva od jednog bajta za izdavanje digitalnih certifikata, ozbiljna slabost koja je omogućila istraživaču da brzo povrati ključeve i stvori lažne certifikate. Ti incidenti su se dogodili tijekom Mjeseca svijesti o kibernetičkoj sigurnosti, što je potaknulo široku pozornost na rizike koje predstavljaju zastarjeli softver i neadekvatni kriptografski standardi.
Procjena pristranosti (Sredina): Članak izvješćuje o tehničkim incidentima kibernetičke sigurnosti koji uključuju ranjivosti softvera i korporativne sigurnosne greške. Dok su vladine agencije kao što su NSA i FBI spomenuti u vezi sa savjetima, osnovna tema je tehnološka infrastruktura i sigurnosni protokoli, a ne partizanski
Zašto činjenice (15): The article fails to accurately represent the primary source document. It conflates the eMudhra incident with unrelated events (like the PHP vulnerability) into a single 'chaos' narrative, diluting the specific facts of the eMudhra breach. Crucially, it omits the core technical details provided in t
Zašto objektivnost (40): The tone is sensationalist and alarmist, using phrases like 'absolute chaos,' 'sit up and notice,' and 'what in the world is going on?' This creates a sense of panic rather than providing a neutral report. By grouping multiple distinct security incidents together under a headline of 'chaos,' the art
Kako je izvijestila svaka strana
Isti događaj, grupiran prema političkom nagibu medija koji su o njemu izvještavali.
progresivno
sredina
konzervativno
★
Kako je izvijestila svaka strana
Podržite neovisne vijesti svjesne pristranosti i otključajte društveni puls, glasovanje zajednice i sve ostale značajke za podupiratelje.
India
