आठ समझौता प्रमाणपत्र वेब के नीचे के नाजुक भरोसे को उजागर करते हैं

आठ समझौता किए गए टीएलएस प्रमाणपत्रों की खोज ने पूरे इंटरनेट पर व्यापक सुरक्षा चेतावनी जारी कर दी है। मध्यवर्ती प्रमाणपत्रों को सिस्टम में संकीर्ण रूप से नियंत्रित गवाह माना जाता है जो एन्क्रिप्टेड कनेक्शन को प्रमाणित करता है, लेकिन उस स्तर पर समझौता करने से हमलावर को किसी भी सर्वर के लिए विश्वसनीय क्रेडेंशियल जारी करने की अनुमति मिल सकती है, जो छिपी हुई प्रशासनिक विफलता को उपयोगकर्ताओं, बैंकों और सार्वजनिक संस्थानों के लिए सीधे खतरे में बदल देती है।

ख़तरा प्रतिनिधिमंडल से आता है. अंतिम उपयोगकर्ता शायद ही कभी प्रमाणपत्रों का निरीक्षण करते हैं; सॉफ़्टवेयर उन्हें स्वीकार करता है क्योंकि अधिकारियों का पदानुक्रम आत्मविश्वास को स्वचालित दिखाने के लिए डिज़ाइन किया गया है। जब एक मध्यवर्ती से समझौता किया जाता है, तो सिस्टम की केंद्रीय सुविधा इसकी कमजोरी बन जाती है, क्योंकि जाली क्रेडेंशियल को अमान्य प्रमाणपत्र से जुड़े चेतावनी के सामान्य संकेतों को बताए बिना स्वीकार किया जा सकता है।

केवल प्रारंभिक खोज से व्यावहारिक हताहतों की पहचान अभी तक नहीं की जा सकी है, लेकिन उनमें वे ग्राहक शामिल हो सकते हैं जिनके सत्र बाधित हुए हैं, सॉफ़्टवेयर प्रकाशक जिनके अनुप्रयोगों को अद्यतन किया जाना चाहिए, और संगठन जिन्हें क्रेडेंशियल्स को घुमाने के लिए मजबूर किया गया है। दुर्भावनापूर्ण हाथों में पाए गए प्रमाणपत्रों को रद्द किया जाना चाहिए, और प्रत्येक आश्रित प्रणाली को यह निर्धारित करना होगा कि क्या उसने प्रभावित श्रृंखला पर भरोसा किया है। एक वर्ष के भीतर, इस प्रकरण से सार्वजनिक वेब बुनियादी ढांचे पर निर्भर संस्थानों पर पर्याप्त लागत लगाने के साथ-साथ छोटे प्रमाणपत्र जीवन, सख्त निरस्तीकरण प्रथाओं और अधिक स्वतंत्र निगरानी को अपनाने में तेजी आने की संभावना है।