किसी ने मंगलवार को एक नोट पोस्ट किया। इस पर "वेन" के हस्ताक्षर थे। "यहाँ हमारे पास एक समस्या है।" यह मजाकिया होता, अगर वेन ने इसे @eMudhra, भारत में एक प्रमाणन प्राधिकरण के स्वामित्व वाली निजी कुंजी के साथ हस्ताक्षरित न किया होता। यह कुंजी आपके ब्राउज़र के द्वारा विश्वास किए जाने वाले आठ मध्यवर्ती प्रमाणपत्रों में से एक के पीछे स्थित है। एक कुंजी को हासिल कर लेना, आपको इंटरनेट पर किसी भी साइट के लिए मान्य प्रमाणपत्र जनरेट करने की अनुमति देता है। आपके बैंक की लॉगिन पेज सहित। तो वेन ने इसे कैसे प्राप्त किया? अधिकांश लोगों ने माना कि एक ब्रेच हुआ। संभवतः कोई आंतरिक सदस्य, या कोई स्पाई एजेंसी। लेकिन उसने कुछ भी चुराया नहीं। कुंजियाँ अनुमानित की जा सकती थीं। एक सामान्य P-384 कुंजी में लगभग 384 बिट्स की यादृच्छिकता होती है। यह 116 अंकों की संख्या है, और कोई भी इसे अनुमानित नहीं करता। @eMudhra की कुंजियाँ 3 से 8 बिट्स थीं। एक निजी कुंजी में सचमुच संख्या 4 थी। दूसरी 56 थी। सबसे बड़ी 237 थी। एक लैपटॉप सभी आठ कुंजियों को आपके इस वाक्य को पूरा करने से पहले ही क्रैक कर सकता है। फिलिप्पो वैलसोर्डा, जो Go के लिए क्रिप्टो कोड का प्रबंधन करते हैं, इसे "यह संभव ही नहीं होना चाहिए" श्रेणी में रखते हैं। https://t.co/Rg3ue0zZqK के बेन कार्टव्राइट-कॉक्स का मानना है कि उदाहरण कोड प्रोडक्शन में समा गया। और किसी ने ध्यान नहीं दिया। इसलिए, ब्राउज़र मेकर्स ने तेज़ी से कदम उठाए। मंगलवार की सुबह के अंत तक, उन्होंने सभी आठ प्रमाणपत्रों, साथ ही कुछ प्रमुखऐप्स और प्रोग्रामिंग भाषाओं को ब्लॉक कर दिया। प्रमाणपत्र पारदर्शिता लॉग में किसी के द्वारा कुंजियों का दुरुपयोग होने का कोई संकेत नहीं है। संकट समाप्त? अभी तक कुछ भी नहीं। ब्राउज़र हिस्सा सरल होता। Valsorda कहते हैं, इस सफाई का पैमाना #Heartbleed, 2014 के OpenSSL bug से bड़ा होगा, जिसकी सफाई में सालों लगे। समस्या है, सबकुछ,जो apna apna vishwas kiyaa gaya roots ka apna copy bhejta hai aur kabhi update nahi karta: IoT gadgets, Docker containers, bhool gaye Linux boxes, purane CLI tools. कुछ Linux distros में abhi tak fixes ready nahi the। Windows 10 पर Edge, Ars प्रकाशित होने पर 12 vulnerable hosts से jodha ja raha tha। हमलावरों के लिए ek ek chhota sa rukawat hai। Ek bura certificate sirf tab helpful hota hai jab aap kisi ke connection ke beech mein baith kar unki traffic ko decrypt aur re-encrypt kar rahe hoon. Open internet par yeh mushkil hai। Coffee shop Wi-Fi, ya ek aise desh mein jahan VPN traffic ko pehle se hi spy kiya ja raha hai, yeh bahut aasaan hai। Signal aur WireGuard jaise apps theek hain, kyunki yeh privacy ke liye TLS par nirbhar nahi hain। यहi mujhe pareshan karta hai। Aapke address bar mein lock icon ek company ka vaada nahi hai। Yeh hundreds of companies ek saath vaada kar rahe hain, aur yeh sabse ghatiya ek ke jitna strong hai। मंगलवार को, sabse ghatiya ek ne 4 ki key ka istemal kiya। वेन ने सबको bataya। Agla vyakti shayad nahi karega। https://t.co/vSK9GTDYLa