نشر شخص ما ملاحظة يوم الثلاثاء، موقعة بـ"واين". "لدينا مشكلة هنا." لكن كان من الممكن أن تكون مضحكًا، لو لم يوقع واين بها بمفتاح خاص ينتمي إلى @eMudhra، وهي سلطة شهادات في الهند. هذا المفتاح يقع خلف أحد الثمانية شهادات وسيطة التي تم تصميم متصفحك لثقته بها. امتلاك أحدها يسمح لك بإصدار شهادة صالحة لأي موقع على الإنترنت، بما في ذلك صفحة تسجيل الدخول لبنكك. إذًا، كيف حصل واين عليه؟ افترض معظم الناس اختراقًا. ربما من داخل الشركة، أو وكالة تجسس. لكنه لم يسرق شيئًا. كانت المفاتيح قابلة للتنبؤ بها. يحتوي المفتاح العادي P-384 على حوالي 384 بت من العشوائية. هذا رقم مكون من 116 رقمًا، ولا أحد يستطيع توقعه. كانت مفاتيح @eMudhra تتراوح بين 3 إلى 8 بت. كان أحد المفاتيح الخاصة هو الرقم 4 حرفيًا. وكان آخر 56. وأكبرها كان 237. يمكن لجهاز كمبيوتر محمول كسر جميع المفاتيح الثمانية أسرع من أن تنهي هذه الجملة. وضع فيليبو فالسوردرا، الذي يُحافظ على كود التشفير في لغة Go، الأمر في فئة "هذا لا ينبغي أن يكون ممكنًا". ويعتقد بن كارتر-كوك من https://t.co/Rg3ue0zZqK أن كودًا تجريبيًا تسرب إلى الإصدار الإنتاجي، ولم يلاحظه أحد. وبالتالي، تحرك مصنعو المتصفحات بسرعة. بحلول صباح الثلاثاء المتأخر، قاموا بحظر جميع الشهادات الثمانية، بالإضافة إلى بعض التطبيقات الكبرى ولغات البرمجة. لا تظهر سجلات الشفافية للشهادات أي علامة على استغلال هذه المفاتيح. هل انتهى الأزمة؟ ليس حتى قريبًا. كان المتصفح هو الجزء السهل. يقول فالسوردرا إن عملية التنظيف هذه ستكون أكبر من #Heartbleed، ثغرة OpenSSL لعام 2014 التي استغرق التخلص منها سنوات. المشكلة هي كل شيء يُرسل نسخة خاصة من جذور الثقة ولا يُحدّثها أبدًا: أجهزة إنترنت الأشياء، حاويات Docker، أجهزة لينكس مهجورة، أدوات سطر أوامر قديمة. بعض توزيعات لينكس لم تكن جاهزة بعد بالإصلاحات. كان Edge على Windows 10 لا يزال يتصل بـ 12 خادمًا ضعيفًا عندما نشرت Ars. هناك عقبة واحدة للمهاجمين. الشهادة السيئة مفيدة فقط إذا كنت تجلس في منتصف اتصال شخص ما، وتقوم بفك تشفير حركته وإعادة تشفيرها. هذا صعب على الإنترنت المفتوح. لكنه أسهل بكثير على شبكة Wi-Fi في مقهى، أو في دولة تتجسس بالفعل على حركة VPN. التطبيقات مثل Signal وWireGuard آمنة، لأنها لا تعتمد على TLS للخصوصية. هذا ما يزعجني. رمز القفل في شريط العنوان الخاص بك ليس وعدًا من شركة واحدة. إنه مئات الشركات تعد في نفس الوقت، وهو أضعف ما يكون بقدر أضعف شركة منها. في الثلاثاء، كانت أضعف شركة استخدمت مفتاحًا رقم 4. أخبر واين الجميع. قد لا يفعل الشخص التالي ذلك. https://t.co/vSK9GTDYLa