Isinulat ng isang tao ang isang tala noong Martes. Sinignahan ng “Wayne.” “May problema tayo dito.” Makakatatawa ito kung hindi sinignahan ni Wayne ito ng isang private key na nanggaling sa @eMudhra, isang certificate authority sa India. Ang key na ito ay nasa likod ng isa sa walong intermediate certificates na tinatanggap ng iyong browser. Kung mayroon ka ng isa, maaari mong lumikha ng isang valid na sertipiko para sa anumang website sa internet—kabilang ang pahina ng login ng iyong bangko. Paano kaya nakakuha si Wayne nito? Ang karamihan ay nagsasalaysay ng isang breach. Maaaring isang insider, o isang ahensya ng espia. Ngunit hindi niya sinira ang anumang bagay. Ang mga key ay maaaring hulaan. Ang isang karaniwang P-384 key ay may halos 384 bits ng randomness. Ito ay isang numero na may 116 digits, at walang tao ang maaaring hulaan iyon. Ang mga key ng @eMudhra ay may 3 hanggang 8 bits lamang. Isang private key ay literal na ang numero 4. Ang isa pa ay 56. Ang pinakamalaki ay 237. Ang isang laptop ay maaaring sirain ang lahat ng walo nang mas mabilis kaysa sa pagtatapos mo sa pangungusap na ito. Ang Filippo Valsorda, na nagpapanatili ng crypto code para sa Go, ay isinama ito sa kategorya na “hindi dapat posible.” Si Ben Cartwright-Cox mula sa https://t.co/Rg3ue0zZqK ay naniniwala na ang example code ay nalabas sa production. At walang nakakakita. Kaya naman gumalaw nang mabilis ang mga gumawa ng browser. Sa huli ng Martes umaga, sinara nila ang lahat ng walong sertipiko, kasama ang ilang malalaking app at programming languages. Ang mga certificate transparency logs ay walang tanda na ginamit ang mga key. Tapos na ba ang krisis? Hindi pa malapit. Ang browser ay ang madaling bahagi. Sabi ni Valsorda, ang paglilinis na ito ay mas malaki kaysa sa #Heartbleed, ang 2014 OpenSSL bug na tumagal ng ilang taon para linisin. Ang problema ay ang lahat ng bagay na dala nito ang sariling kopya ng trusted roots at hindi nag-uupdate: Mga IoT gadget, Docker containers, nakalimutang Linux boxes, lumang CLI tools. Ang ilang Linux distros ay wala pa ring fixes. Ang Edge sa Windows 10 ay patuloy pa ring nagkonekta sa 12 vulnerable hosts nang isinulat ni Ars. May isang hadlang para sa mga attacker. Ang isang masamang sertipiko ay kapaki-pakinabang lamang kung ikaw ay nasa gitna ng koneksyon ng isang tao, at nagde-decrypt at nagre-re-encrypt ng kanilang traffic. Mahirap gawin ito sa bukas na internet. Mas madali ito sa Wi-Fi ng coffee shop, o sa isang bansa na nagsusuri na sa VPN traffic. Ang mga app tulad ng Signal at WireGuard ay ligtas, dahil hindi sila nakabatay sa TLS para sa privacy. Ito ang nagpapaisip sa akin: Ang lock icon sa address bar mo ay hindi isang pangako ng isang kompanya lamang. Ito ay mga daan-daang kompanya na nagpapangako nang sabay-sabay, at ito ay may lakas lamang kasing kahinaan ng pinakamalabo sa kanila. Noong Martes, ang pinakamalabo ay gumamit ng key na 4. Sinabi ni Wayne sa lahat. Ang susunod na tao ay maaaring hindi. https://t.co/vSK9GTDYLa