Boty do handlu kryptowalutami oraz aplikacje giełdowe mogą pozostać narażone na lukę w bezpieczeństwie certyfikatów związaną z indyjską firmą eMudhra, pomimo doraźnych poprawek wdrożonych przez największe firmy technologiczne — zgodnie z ostrzeżeniem firmy zajmującej się bezpieczeństwem blockchain CertiK.

Do wtorku giganci technologiczni, w tym Google, Apple i Microsoft, zablokowali osiem podatnych certyfikatów wydanych przez eMudhra — certyfikatów, które mogły służyć do tworzenia podróbek legalnych stron internetowych, jak wcześniej informowała Cointelegraph. Urzędy certyfikacji, takie jak eMudhra, stanowią fundament zaufania HTTPS: są to zaufane organizacje wydające cyfrowe certyfikaty, które strony internetowe przedstawiają w celu potwierdzenia swojej tożsamości — dlatego nieprawidłowo wydane certyfikaty traktowane są jako problem bezpieczeństwa całego internetu. Jednak te poprawki na poziomie przeglądarek mogą nie obejmować aplikacji krypto opierających się na odrębnych systemach bezpieczeństwa, poinformowała Cointelegraph starsza dyrektor ds. bezpieczeństwa aktywów cyfrowych w CertiK, Peiyu Wang.

„Blokady w głównych przeglądarkach istotnie zmniejszają ryzyko dla klientów, które je otrzymują i egzekwują” — powiedział Wang. „Niektóre aplikacje poza ekosystemem przeglądarek nie egzekwują Certificate Transparency ani nie otrzymują tych samych zabezpieczeń związanych z odwoływaniem certyfikatów.”

Certificate Transparency to szeroko stosowany framework, w ramach którego przeglądarki weryfikują certyfikaty stron internetowych względem publicznych, podlegających audytowi dzienników, co pomaga zapewnić wykrywanie i blokowanie nieprawidłowo wydanych certyfikatów. Aplikacje działające poza tym ekosystemem mogą nie korzystać z tych samych zabezpieczeń — luka ta dotyka bezpośrednio sektor krypto, gdzie boty handlowe i aplikacje giełdowe zazwyczaj komunikują się z usługami poprzez API, a nie przez przeglądarkę.

Wang podkreślił, że usługi krypto nie są z natury bardziej podatne na tę lukę niż inne branże. Niemniej atakujący mogliby wykorzystać skompromitowane certyfikaty, aby podszywać się pod połączenia HTTPS użyane przez giełdy, interfejsy portfeli oraz API.

Konkretnie, atakujący mogliby podszywać się pod usługi krypto, aby podmienić adresy depozytów lub nakłonić użytkowników do zatwierdzenia złośliwych transakcji — powiedział Wang. Takie ataki wymagałyby również przechwytywania lub przekierowywania ruchu internetowego użytkowników, a same skompromitowane klucze urzędu certyfikacji nie ujawniłyby kluczy prywatnych portfeli.

Wang zaapelował do operatorów krypto, aby zaktualizowali swoje oprogramowanie i magazyny zaufania certyfikatów oraz zweryfikowali, że ich aplikacje odrzucają dotknięte certyfikaty — weryfikacja ta spoczywa na każdym operatorze, ponieważ blokady na poziomie przeglądarek mogą nie docierać automatycznie do aplikacji działających poza tymi przeglądarkami.

Wkład reporterski: Felix Ng.

Źródło: Cointelegraph