eMudhra in PHP nista edini, zadnjih 24 ur je bilo popolno kaos za internet.
Nedavne motnje kibernetske varnosti so vplivale na globalno digitalno infrastrukturo, kar je bilo poudarjeno s kritičnimi ranljivostmi v programskem jeziku PHP in šibkimi varnostnimi praksami indijskega certifikatnega organa eMudhra. PHP Foundation je izdal nujni popravek za dve napaki, znani kot PHP2Shell, ki omogočajo neavtentificiran dostop do spletnih strežnikov; te ranljivosti, ki jih je odkril AI model, vplivajo na približno 70% spletnih mest v skladu z W3Tech. V odgovor na to sta ameriška agencija za nacionalno varnost in FBI svetovala organizacijam, naj nemudoma uporabijo posodobitve ali izklopijo sisteme, kar je privedlo do previdnostnega zapiranja vladnih spletnih strani v državah, kot sta Finska in Nizozemska. Hkrati je bilo ugotovljeno, da eMudhra uporablja zasebne ključe z enim bajtom za izdajo digitalnih certifikatov, kar je bila resna šibkost, ki je raziskovalcu omogočila hitro obnovitev ključev in ustvarjanje goljufivih certifikatov. Ti incidenti so se zgodili med mesecem za ozaveščanje o kibernetski varnosti, kar je privedlo do široke pozornosti na tveganja, ki jih predstavljajo zastarela programska oprema in neustrezni kriptografski standardi.
Centralna vlada je odredila posebno ekipo, da preveri kritično varnostno napako pri eMudhra Ltd., certifikacijski organu s sedežem v Bengaluruju, ki mu zaupajo večji globalni brskalniki. Preiskava sledi odkritju, da osem vmesnih varnostnih certifikatov, ki jih je izdalo podjetje, vsebuje zasebne ključe, ki so tako šibke, da jih je mogoče obnoviti v manj kot sekundi. Google, Mozilla, Apple in Microsoft so blokirali prizadete certifikate, varnostni strokovnjaki pa opozarjajo, da bo čiščenje posledic dolgotrajen in težek proces zaradi zastarele programske in strojne opreme, ki se še vedno zanaša na ogroženo verigo zaupanja.
Ranljivost izhaja iz slovesnosti o ustvarjanju ključev, ki je potekala 30. aprila 2025. Zasebni ključi za te certifikate so bili namenjeni naključnim številam, dolgem približno 116 števk, ki zagotavljajo 384 bitov kriptografske moči. Namesto tega so bili ključi enobajtni celi številki, ki so se raztezali od 1 do 256. Konkretno, osem kompromitiranih ključev je bilo identificiranih kot 4, 56, 66, 115, 155, 156, 230 in 237. Ker ima en bajt le 256 možnih vrednosti, so raziskovalci lahko ključe skoraj takoj prisilili. Varnostni raziskovalec, znan kot Wayne, je 17. oktobra opozoril sodelavce v industriji na napako.
Ta dokaz koncepta je pokazal, da lahko vsakdo, ki ima te ključe, ponareja zaupanja vredne certifikate za katero koli spletno stran, kar napadalcem omogoča, da se pretvarjajo za zakonite strežnike, prestrežejo podatke ali kradejo poverilnice. E-Mudhra, kotirano podjetje, ki deluje kot certifikacijska agencija, je v sredo v objavi navedlo, da je pomanjkljivost v slovesnosti izdelave ključev povzročila, da je v koraku zavijanja/odvijanja proizvedel drugi sklop šibkih ključev poleg prvotnih močnih. Podjetje je pojasnilo, da so bili šibki ključi tisti, ki so bili objavljeni v koreninskih skladiščih brskalnika. E-Mudhra je trdil, da njegova osnovna infrastruktura ni bila ogrožena in da ni bilo nobenih kršenih podatkov.
Družba je navedla, da njena indijska podjetja za digitalni podpis in e-podpis delujejo na ločeni infrastrukturi in da to ne vpliva na njuno poslovanje. Družba je nadalje navedla, da noben od zadevnih vmesnih organov za izdajo spričeval ni izdal certifikatov za končne subjekte za določene spletne strani, kar potrjujejo tudi javni zapisi o preglednosti certifikatov. Vendar pa je družba E-Mudhra priznala, da je bil eden od osmih prizadetih certifikatov uporabljen v proizvodnji, čeprav ni navedla, kateri. Ministrstvo za elektroniko in informacijsko tehnologijo (MeitY) je sporočilo, da je resno preučilo incident in ustanovilo posebno ekipo za preiskovanje.
Ministrstvo je opisalo vpliv na indijske spletne strani in aplikacije kot zelo omejen in kratkotrajen. Prav tako je kritizirala nekatere račune na družbenih omrežjih, ker so povzročili strah glede kršitve. Ta ocena je v ostrem nasprotju s svetovanjem, ki ga je kasneje istega dne izdala indijska ekipa za odzivanje na računalniške izredne razmere (CERT-In). CERT-In je ključe opisal kot ključe z nezadostno kriptografsko naključnostjo in opozarjal, da bi jih napadalci lahko uporabili za prestrezanje ali spreminjanje komunikacij, kar bi lahko privedlo do kraje poverilnic, nepooblaščenega razkritja občutljivih informacij in finančne goljufije.
Agencija je pozvala vladne službe, ponudnike internetnih storitev, prodajalce programske opreme in skrbnike spletnih strani, naj nemudoma posodobijo svoje sisteme in sezname zaupanja vrednih certifikatov. CERT-In je uporabnikom izrecno naročil, naj ne obidejo opozoril o potrjevanju certifikatov ali onemogočajo preverjanje certifikatov. Globalni odzivi na incident so bili hitri. Do poznega jutra v torek so Apple, Google in Mozilla blokirali ogrožene certifikate v Safariju, Chromeu in Firefoxu.
Dennis Jackson, ki je sodeloval pri odgovoru Mozile, je eMudhra ključe opisal kot trivialne za izkoriščanje, in je opozoril, da je šest prizadetih certifikatov bilo za TLS in zaupanja vrednih koreninskih programov Chromea, Mozile, Microsofta in Applea. Orodja, ki so situacijo poimenovali bonkers, kažejo, da je verjetno primer koda, ki je nenamerno ušel v proizvodnjo. Varnostni strokovnjaki so izrazili globoko zaskrbljenost zaradi dolgoročnih posledic. Filippo Valsorda, inženir za jezik Go, je opozoril, da bi prizadevanja za čiščenje lahko tekmovala ali presegla obseg napake Heartbleed iz leta 2014.
Opozoril je, da se brskalniki lahko hitro posodabljajo, popravljanje pozabljenih Linuxov, pametnih domačih naprav za internet stvari in orodja za strežnike v ozadju pa bo trajalo precej časa. Yash Kakadia, ustanovitelj podjetja za kibernetsko varnost Security Brigade, je poudaril, da se vpliv razteza na IoT naprave, ki niso pogosto popravljene. Mozilla je v poročilu o incidentu navedla, da incident omogoča tudi tehnično nesophisticated posameznikom, da zlahka obnovite zasebne ključe, ki predstavljajo visoko vpliv grožnjo za globalno internetno verigo zaupanja.
Več indijskih vladnih spletnih strani, vključno s tistimi, ki jih upravlja Indijski organ za edinstveno identifikacijo (UIDAI) za Aadhaar in portal za vložitev davka na dohodek, uporablja eMudhra certifikata ali sorodno tehnologijo. Zgodovinsko gledano so bili globalni brskalniki previdni pri zaupanju indijskim certifikacijskim organom, potem ko je Nacionalno informacijsko središče leta 2014 izdalo lažne certifikate. E-Mudhra ostaja edini indijski certifikacijski organ za korenine, ki mu trenutno zaupajo po vsem svetu. Ni znakov, da so bili kršeni korenski certifikati E-Mudra, ki so nad ogroženim nivojem.
V zadnjih poročilih dnevniki preglednosti ne kažejo nobenih dokazov, da so bili šibki ključi uporabljeni za izdajo zlonamernega potrdila, čeprav to ne izključuje nedvomne zlorabe zunaj izdaje potrdila, ki je vidna v brskalniku. Napad z uporabo teh certifikatov bi zahteval položaj nasprotnika v sredini, na primer nadzor lokalnega omrežja Wi-Fi. Uporabnikom svetujemo, naj zagotovijo, da so njihovi spletni brskalniki, operacijski sistemi in varnostne aplikacije posodobljeni na najnovejše različice.
Pojdite k primarnim virom (1)
Uradni viri, na katerih temelji poročanje. Preberite jih neposredno in se izognite uokvirjanju.
Osem zasebnih kriptografskih ključev, ki jih uporablja eMudhra Ltd., digitalno varnostno podjetje s sedežem v Bengaluruju, je bilo izpuščenih, kar je povzročilo veliko zaskrbljenosti glede spletne varnosti. Ti ključi se uporabljajo za izdajo SSL/TLS certifikatov, ki so bistvenega pomena za varno spletno komunikacijo. Ključi so imeli kritično ranljivost: uporabljali so številke med 1 in 256 namesto zahtevane 384-bitne šifriranja, zaradi česar jih je zelo enostavno uganiti. Pomembni brskalniki, kot so Google (Chrome), Mozilla, Microsoft in Apple, so bili opozorjeni in so sprejeli ukrepe za preklic zaupanja v kompromitirane certifikate. eMudhra je navedel, da je bil le eden od prizadetih vmesnih certifikatov v aktivni uporabi in da niso bili izdani nobeni certifikati končnih uporabnikov z uporabo napačnih ključev. Vendar strokovnjaki opozarjajo, da bi lahko bile naprave IoT, ki jih je pogosto težko posodobiti, še vedno ranljive.
Ocena pristranskosti (Sredina): Članek predstavlja kršitev tehnične varnosti, ki vključuje zasebno podjetje, katerega izdelke uporabljajo vladne enote in enote javnega sektorja. Čeprav ima incident nacionalne posledice, se članek še vedno osredotoča na tehnične vidike ranljivosti, na odziv eMudhra in na mnenje strokovnjakov.
Zakaj dejstva (95): The article provides specific details about the leaked keys including the number of keys (eight), the company involved (eMudhra Ltd.), and the nature of the vulnerability (keys being between 1 and 256 instead of 384-bit). These facts align with the cross-source consensus and appear well-supported.
Zakaj objektivnost (90): The article presents the information in a largely neutral manner, focusing on technical aspects and quoting experts like Dennis Jackson from Mozilla. It avoids overtly biased language but does include some descriptive terms like 'extraordinary development' and 'glaring flaw,' which slightly lean tow
India TodayNeodvisenSredinaDejstva 95Objektivnost 90
V osmih vmesnih digitalnih certifikatih, ki jih je izdal indijski certifikatni organ eMudhra, je bila odkrita kritična varnostna pomanjkljivost. Ti certifikati so vsebovali izjemno šibke šifrirne ključe, ki se gibljejo od 3 do 8 bitov, ki so veliko manj varne od standardnih 384-bitnih ključev. Varnostni raziskovalec po imenu Wayne je pokazal šibkost z ustvarjanjem spletnega mesta, ki je uporabil digitalno podpisano sporočilo za poudaritev napake. Strokovnjaki opozarjajo, da bi lahko ta pomanjkljivost napadnikom omogočila ponarejanje zaupanja vrednih certifikatov, s čimer bi lahko ogrozili uporabniške podatke. Velika tehnološka podjetja, kot so Apple, Google in Mozilla, so hitro blokirala kompromitirane certifikate, strokovnjaki za kriptografijo pa so izrazili zaskrbljenost zaradi obsežnega čiščenja, ki je bilo potrebno, in ga primerjali s Heartbleedom iz leta 2014. Čeprav še ni bila potrjena zlonamerna uporaba, tveganje še vedno obstaja zaradi možnosti izkoriščanja z napadi človeka v sredini.
Ocena pristranskosti (Sredina): Članek se osredotoča na tehnična vprašanja kibernetske varnosti, ki vključujejo standarde šifriranja, in se ne ukvarja s političnimi razpravami, politikami ali številkami. Zagotavlja uravnoteženo razlago ranljivosti, reakcij strokovnjakov in prizadevanj za blažitev brez očitnega ideološkega okvirja.
Zakaj dejstva (95): The article accurately describes the discovery of weak cryptographic keys used by eMudhra, citing the specific bit sizes (3–8 bits) and referencing the researcher 'Wayne' who demonstrated the vulnerability. The comparison to the Heartbleed bug is reasonable given the potential scale of the issue. Ho
Zakaj objektivnost (90): The article maintains a largely neutral tone, presenting facts and expert reactions without overt bias. The term 'shockingly weak' introduces some subjective language but does not strongly influence the overall neutrality. The description of the situation as 'bonkers' is a direct quote from Ben Cart
India TodayNeodvisenSredinaDejstva 95Objektivnost 85
Indijsko podjetje za kibernetsko varnost, imenovano eMudhra, se sooča z veliko preiskavo, potem ko je bilo ugotovljeno, da osem digitalnih certifikatov, ki jih je izdalo, vsebuje izjemno šibke zasebne ključe. Te pomanjkljivosti so napadnikom omogočile, da so ključe obnovili v manj kot sekundi, kar jim je potencialno omogočilo ponarejanje ponarejenih varnostnih certifikatov in ponarejanje zakonitih strežnikov. Velika tehnološka podjetja, kot so Apple, Google, Microsoft in Mozilla, so sprejela ukrepe za blokiranje prizadetih certifikatov, medtem ko so platforme, kot je Cloudflare, uvedle varnostne popravke. Čeprav še ni bilo potrjenih napadov, je incident sprožil zaskrbljenost glede tega, kako je bila tako temeljna varnostna ranljivost spregledana in kako dolgo lahko traja, da se ta težava v celoti reši na svetovni ravni. eMudhra deluje kot certifikacijski organ, ki izda digitalne certifikate, ki brskalnikom pomagajo preveriti pristnost spletnih strani, zaradi česar je njegova vloga ključna za internetno varnost.
Ocena pristranskosti (Sredina): Članek se osredotoča na tehnično vprašanje kibernetske varnosti, ki vključuje zasebno podjetje in njegove ranljivosti digitalnih certifikatov. Ne omenja političnih osebnosti, politik ali strankarskih pogledov. Vsebina se še naprej osredotoča na tehnične vidike napake in njene posledice za spletno
Zakaj dejstva (95): Accurately reports the compromise of eight keys, the involvement of major tech companies, and the lack of evidence for active exploitation. The claim that keys could be recovered in 'less than a second' aligns with the primary source's description of the flaw being 'trivial to exploit.'
Zakaj objektivnost (85): Uses slightly dramatic phrasing like 'internet security scare' and 'meltdown,' but remains largely informative and balanced in explaining the technical context.
eMudhra Ltd, ki ima sedež v Bengaluruju in je certificirana avtoriteta, ki ji zaupajo največji svetovni brskalniki, je zaradi napake v procesu ustvarjanja ključev ustvarila šibke kriptografske ključe za osem varnostnih certifikatov. Ta napaka je vsakomur omogočila potencialno pridobitev tajnih ključev v nekaj sekundah, kar je omogočilo izdajo goljufivih digitalnih identitet za katero koli spletno stran, vključno z bankami in vladnimi portali. Velika tehnološka podjetja, kot so Google, Mozilla, Apple in Microsoft, so preklicala prizadeta potrdila, da bi zmanjšala tveganja. Indijsko ministrstvo za elektroniko in informacijsko tehnologijo (MeitY) je ustanovilo posebno ekipo za preiskovanje incidenta, ki navaja, da je bil vpliv na domače storitve omejen, medtem ko je obtožilo družbene medije, da so povzročili strah. Varnostni strokovnjaki opozarjajo, da bo čiščenje zapleteno in dolgotrajno, zlasti pa bo vplivalo na zastarele sisteme, kot so usmerjevalniki in plačilni terminali, ki se redko posodabljajo.
Ocena pristranskosti (Sredina): Članek ohranja nevtralen, na dejstvih temelječ ton glede pomembne kršitve kibernetske varnosti, ki vključuje nacionalni subjekt in odgovor vlade. Medtem ko zadeva vključuje državno ureditev in odgovornost podjetij, poročanje uravnotežuje tehnična pojasnila, izjave podjetij in
Zakaj dejstva (95): Accurately states the government investigation, the blocking of certificates, and the specific example of a key being the number 4. Correctly notes the lack of evidence for misuse.
Zakaj objektivnost (80): Uses strong descriptors like 'so poorly' and 'flimsy,' and quotes experts expressing alarm. While factually grounded, the tone leans towards emphasizing the severity and negative implications more than a purely neutral summary would.
India TodayNeodvisenSredinaDejstva 15Objektivnost 40
Nedavne motnje kibernetske varnosti so vplivale na globalno digitalno infrastrukturo, kar je bilo poudarjeno s kritičnimi ranljivostmi v programskem jeziku PHP in šibkimi varnostnimi praksami indijskega certifikatnega organa eMudhra. PHP Foundation je izdal nujni popravek za dve napaki, znani kot PHP2Shell, ki omogočajo neavtentificiran dostop do spletnih strežnikov; te ranljivosti, ki jih je odkril AI model, vplivajo na približno 70% spletnih mest v skladu z W3Tech. V odgovor na to sta ameriška agencija za nacionalno varnost in FBI svetovala organizacijam, naj nemudoma uporabijo posodobitve ali izklopijo sisteme, kar je privedlo do previdnostnega zapiranja vladnih spletnih strani v državah, kot sta Finska in Nizozemska. Hkrati je bilo ugotovljeno, da eMudhra uporablja zasebne ključe z enim bajtom za izdajo digitalnih certifikatov, kar je bila resna šibkost, ki je raziskovalcu omogočila hitro obnovitev ključev in ustvarjanje goljufivih certifikatov. Ti incidenti so se zgodili med mesecem za ozaveščanje o kibernetski varnosti, kar je privedlo do široke pozornosti na tveganja, ki jih predstavljajo zastarela programska oprema in neustrezni kriptografski standardi.
Ocena pristranskosti (Sredina): Članek poroča o tehničnih kibernetskih incidentih, ki vključujejo ranljivost programske opreme in varnostne napake v podjetjih. Medtem ko so vladne agencije, kot sta NSA in FBI, omenjene v zvezi s svetovanjem, je osrednja tema tehnološka infrastruktura in varnostni protokoli, ne pa stranski
Zakaj dejstva (15): The article fails to accurately represent the primary source document. It conflates the eMudhra incident with unrelated events (like the PHP vulnerability) into a single 'chaos' narrative, diluting the specific facts of the eMudhra breach. Crucially, it omits the core technical details provided in t
Zakaj objektivnost (40): The tone is sensationalist and alarmist, using phrases like 'absolute chaos,' 'sit up and notice,' and 'what in the world is going on?' This creates a sense of panic rather than providing a neutral report. By grouping multiple distinct security incidents together under a headline of 'chaos,' the art
Kako je poročala vsaka stran
Isti dogodek, razvrščen po političnem nagibu medijev, ki so o njem poročali.
progresivno
sredina
konservativno
★
Kako je poročala vsaka stran
Podprite neodvisne novice z zavedanjem pristranskosti in odklenite družbeni utrip, glasovanje skupnosti in vse druge funkcije za podpornike.
India
