Η ινδική εταιρεία ασφάλειας πληροφοριών και αρχή έκδοσης πιστοποιητικών (Certificate Authority – CA), eMudhra, υπέστη σοβαρή παραβίαση ασφαλείας στις 17 Οκτωβρίου.
Το γεγονός οδήγησε στη διαρροή 8 ιδιωτικών κλειδιών, που ανήκουν σε 8 ενδιάμεσες αρχές έκδοσης πιστοποιητικών (intermediate CAs), οι οποίες είναι απαρίτητες για τα root programs των Mozilla, Google και Microsoft, καθώς και για τους ιστότοπους που εξαρτώνται από αυτά. Ένας επιτιθέμενος που κατέχει το ιδιωτικό κλειδί οποιασδήποτε από τις παραβιασμένες ενδιάμεσες αρχές θα μπορούσε να υποδυθεί οποιονδήποτε ιστότοπο ή υπηρεσία.
Το ζήτημα έχει ήδη αντιμετωπιστεί από τις Mozilla, Microsoft, Apple και Chrome για τους χρήστες τους, μέσω εργαλείων διανομής πληροφοριών ανάκλησης πιστοποιητικών (όπως τα OneCRL, CRLite και CRLSets). Ωστόσο, πολλοί άλλοι ιστότοποι, εφαρμογές και συσκευές θα χρειαστεί να εγκαταστήσουν χειροκίνητα τις σχετικές διορθώσεις (patches) γιατί διαφορετικά, κινδυνεύουν να πέσουν θύματα παραβίασης ή να μολυνθούν από κακόβουλο λογισμικό. Ειδικοί στον τομέα της τεχνολογίας εκτιμούν ότι αυτή η παραβίαση ενδέχεται να είναι μεγαλύτερη από την καταστροφή ασφαλείας «Heartbleed» του 2014. Η παραβίαση δεν έγινε γνωστή στο κοινό παρά μόνο στις 19 Οκτωβρίου.
Κατά τη διερεύνηση της πηγής της παραβίασης, αποκαλύφθηκε ότι τα κρυπτογραφικά κλειδιά της eMudhra ήταν τόσο αδύναμα, που οι χάκερ δεν χρειάστηκε να καταβάλουν ιδιαίτερη προσπάθεια για να τα παραβιάσουν. Ενώ ένα τυπικό κρυπτογραφικό κλειδί μπορεί να αποτελείται από έως και 120 ψηφία, τα κλειδιά της eMudhra είχαν μήκος μόλις 1 έως 3 ψηφία. Όποιος διέθετε αυτά τα κλειδιά θα μπορούσε να δημιουργήσει πλαστά, αλλά «έμπιστα» πιστοποιητικά για σχεδόν οποιονδήποτε ιστότοπο.
Με αυτόν τον τρόπο, θα μπορούσαν ενδεχομένως να εξαπατήσουν το πρόγραμμα περιήγησής σας (browser), και να αποκτήσουν πρόσβαση σε αποθηκευμένες πληροφορίες, όπως κωδικούς πρόσβασης, στοιχεία πιστωτικών καρτών ή δεδομένα τοποθεσίας.
Ωστόσο, κάτι τέτοιο θεωρείται απίθανο, καθώς οι Google, Mozilla, Microsoft και Apple εφάρμοσαν τις απαραίτητες διορθώσεις πριν δημοσιοποιηθεί το περιστατικό. Μέχρι στιγμής, δεν υπάρχουν επιβεβαιωμένες αναφορές για κακόβουλη χρήση των πλαστών ενδιάμεσων αρχών έκδοσης πιστοποιητικών που συνδέονται με αυτή την παραβίαση ασφαλείας.
![](https://voicenews.gr/wp-content/uploads/2026/05/our-viber-1.png")
