مفاتيح CA الثمانية المسربة: انتحال أي نطاق يهدد مليارات الأجهزة

مقدمة تحليلية

كشفت تسريبات في 2026-10-22 عن مفاتيح خاصة لثماني شهادات CA وسيطة، الأمر الذي يسمح لأي مهاجم بانتحال أي نطاق على شبكة الإنترنت وتوقيع برمجيات خبيثة وكأنها صادرة عن جهات شرعية. يهدد هذا الخرق الأمني مليارات الأجهزة ومنشآت البرامج القديمة بضعف غير مسبوق، ويستدعي تحديثات فورية لجميع المتصفحات وأنظمة التشغيل وأدوات التطوير وأجهزة التوجيه. تتجلى خطورة الوضع في أن المفاتيح الخاصة لشهادات CA الوسيطة التي أصدرتها شركة eMudhra الهندية كانت بطول 1 بايت فقط، ما يعني أنها تتراوح بين 0 و255، وهو نطاق يمكن تخمينه أو كسر حمايته في جزء من الثانية. هذا لا يمثل هجوماً معقداً، بل فشلاً أساسياً في حماية البنية التحتية الجوهرية للويب، مما يضع أنظمة تكنولوجيا المعلومات تحت ضغط هائل بعد فترة قصيرة من التعامل مع ثغرة PHP RCE حرجة.

التحليل التقني

تعتمد عملية التحقق من شرعية الشهادات الرقمية على "سلسلة الثقة" (chain of trust)، حيث تصدر شهادة موقع إلكتروني أو تطبيق من قبل سلطة تصديق وسيطة (CA)، وتكون هذه الأخيرة موثوقة وموقعة من قبل شهادة جذرية (root certificate) يحتفظ بمفاتيحها شديدة الأهمية خارج الإنترنت. في هذه الحادثة، أصدرت شركة eMudhra ست شهادات TLS وشهادتين لتوقيع الأكواد (code-signing certificates) بمفاتيح خاصة شديدة الضعف. السبب يكمن في أن هذه المفاتيح الخاصة كانت بطول 1 بايت فقط، ما يجعلها مجرد عدد من 0 إلى 255. هذا الطول يسمح للمهاجمين بتخمين المفتاح في زمن لا يتجاوز أجزاء الثانية، مقارنة بالمفاتيح القياسية التي تتطلب قوة حوسبة هائلة لكسرها.

يمكن لمهاجم يتواجد في مسار حركة البيانات الشبكية—سواء في شبكة شركة أو حكومة، أو شبكة Wi-Fi عامة، أو مزود خدمة الإنترنت، أو أي كيان حكومي—اعتراض الاتصال وانتحال شخصية أي موقع ويب، مثل apple.com أو amazon.com أو bankofamerica.com. إذا لم يتم تحديث نظام التشغيل والبرامج المثبتة، فلن تكتشف الأنظمة هذا الانتحال. علاوة على ذلك، تسمح شهادات توقيع الأكواد المزورة بإظهار أي تطبيق يتم تنزيله على أنه شرعي تماماً، وكأنه صادر عن شركات مثل Microsoft أو Google. للحد من هذا، يجب على الأنظمة تحديث قوائم الثقة الخاصة بها عبر:

• إلغاء الثقة بالشهادات الثماني الوسيطة المتأثرة.
• إزالة شهادة الجذر المتأثرة (إن وجدت).
• ترميز رفض قاطع لجميع المفاتيح الثمانية المتأثرة.

لحسن الحظ، تفرض الإصدارات الحديثة من المتصفحات مثل Chrome وBrave وFirefox وSafari ميزة تسمى Certificate Transparency. هذه الميزة تستشير سجلاً عاماً للقراءات فقط لإصدارات الشهادات، وتحظر أي شهادة غير مذكورة فيه. أفادت Google بأنه لم يتم تسجيل أي شهادات موقعة بواسطة شهادات CA الوسيطة الست المتأثرة، مما يعني أن المستخدمين الذين يقتصر استخدامهم على تصفح الويب العادي قد يكونون في أمان نسبي، لكن التحقق من تحديث جميع البرامج يظل ضرورياً.

السياق وتأثير السوق

تتجاوز المشكلة هنا مجرد خرق أمني فردي؛ إنها تمثل فشلاً بنيوياً في إدارة الأمن الأساسي. إن تداعيات مفاتيح CA الوسيطة المسربة ليست مقتصرة على عدد قليل من الأنظمة، بل تمتد لتشمل مليارات الأجهزة والبرامج التي تحتاج إلى تحديث فوري. تشمل هذه القائمة أجهزة الكمبيوتر الشخصية، والخوادم، وأنظمة التشغيل، والهواتف، والأجهزة اللوحية، وأجهزة التوجيه، ومتصفحات الويب، والمتصفحات المضمنة في التطبيقات، والخوادم الافتراضية، والأجهزة الافتراضية، وحاويات Docker وغيرها، ولغات البرمجة مثل Python وGo وNode.js وRust، وأدوات التنزيل المستقلة مثل curl. يضاف إلى ذلك التحدي الأكبر المتمثل في الأجهزة القديمة، مثل أجهزة التوجيه الذكية وأجهزة إنترنت الأشياء، وأجهزة الكمبيوتر القديمة التي قد لا تتلقى تحديثات بسهولة أو على الإطلاق، مما يخلق نقاط ضعف دائمة في البنية التحتية الرقمية العالمية.

كان المعيار السابق يعتمد على الثقة المطلقة في سلطات التصديق، وأن مفاتيحها الخاصة محمية بشكل لا يمكن اختراقه. الآن، هذا المعيار قد اهتز بسبب الإهمال الفاضح. هذا الوضع يزيد من العبء على مديري الأنظمة الذين اضطروا بالفعل للتعامل مع ثغرة PHP RCE حرجة. الخسارة هنا ليست مادية فقط، بل في تآكل الثقة في نظام HTTPS بأكمله، والذي يعتبر حجر الزاوية في الأمن الرقمي للإنترنت.

المنافسون في سوق شهادات CA، الذين يلتزمون بمعايير أمنية صارمة، قد يستفيدون من هذا الفشل، لكن الحادث يلقي بظلاله على الصناعة بأكملها.