Криптоторговые боты и биржевые приложения могут оставаться уязвимыми к flaw-дефекту безопасности сертификатов, связанному с индийской компанией eMudhra, несмотря на экстренные исправления, внедренные крупными технологическими компаниями, сообщает компания CertiK, специализирующаяся на блокчейн-безопасности.

К вторнику технологические гиганты, включая Google, Apple и Microsoft, заблокировали восемь уязвимых сертификатов, выданных eMudhra, — сертификаты могли использоваться для подделки легитимных сайтов, как ранее сообщал Cointelegraph. Удостоверяющие центры, такие как eMudhra, составляют основу доверия HTTPS: это доверенные организации, которые выдают цифровые сертификаты, представляемые сайтами для подтверждения своей подлинности, поэтому некорректно выданные сертификаты рассматриваются как проблема безопасности для всего интернета. Однако исправления на уровне браузеров могут не распространяться на криптоприложения, использующие отдельные системы безопасности, рассказал Cointelegraph старший директор по безопасности цифровых активов CertiK Пэйю Ван.

«Блокировки со стороны крупных браузеров существенно снижают риск для клиентов, которые их получают и применяют», — сказал Ван. «Некоторые приложения вне экосистемы браузеров не поддерживают Certificate Transparency и не получают аналогичных механизмов отзыва сертификатов».

Certificate Transparency — это широко используемый механизм, в рамках которого браузеры сверяют сертификаты сайтов с публичными доступными для аудита журналами, что помогает обнаруживать и блокировать некорректно выданные сертификаты. Приложения, работающие вне этой экосистемы, могут не пользоваться теми же средствами защиты — этот пробел напрямую касается криптоиндустрии, где торговые боты и биржевые приложения обычно взаимодействуют с сервисами через API, а не через браузер.

Ван подчеркнул, что криптосервисы не более подвержены данной уязвимости, чем другие отрасли. Тем не менее злоумышленники могут использовать скомпрометированные сертификаты, чтобы выдавать себя за HTTPS-соединения, используемые биржами, интерфейсами кошельков и API.

В частности, злоумышленники могут выдавать себя за криптосервисы, чтобы подменять адреса депозитов или склонять пользователей к одобрению вредоносных транзакций, сказал Ван. Такие атаки также потребуют перехвата или перенаправления интернет-трафика пользователей, а одних лишь скомпрометированных ключей удостоверяющего центра недостаточно для раскрытия приватных ключей кошельков.

Ван призвал криптооператоров обновить свое программное обеспечение и хранилища доверенных сертификатов, а также убедиться, что их приложения отклоняют затронутые сертификаты, — эта проверка ложится на каждого оператора, поскольку блокировки на уровне браузеров могут автоматически не распространяться на приложения вне этих браузеров.

Феликс Нг участвовал в подготовке материала.

Источник: Cointelegraph