إرث كومودو لسكتيغو يظهر كيف تفشل الثقة في الشهادات عبر الإصدار المفوض

ملخص

• سجل عام مؤكد:ذكر تقرير الحادث من كومودو أنه في 15 مارس 2011، تم اختراق حساب سلطة تسجيل واستخدامه لإصدار تسع شهادات مزورة عبر سبعة نطاقات؛ كما ذكر أنه تم إلغاء جميع الشهادات فور الاكتشاف وأن مراقبة حركة مرور OCSP لم تكشف عن أي محاولة استخدام بعد الإلغاء. (تقرير حادث كومودو)
• استجابة المتصفحات والمنصات:تعاملت موزيلا ومايكروسوفت ومشغلو متصفحات أو منصات أخرى مع الحدث على أنه أكثر من مجرد مسألة تدبير منزلي للمُصدر. أصدرت موزيلا تحديثًا لقائمة الحظر للشهادات، ونشرت مايكروسوفت الاستشارة الأمنية 2524375 وتحديثًا وضع الشهادات التسع في مخزن الشهادات غير الموثوقة لنظام ويندوز، ووصف متابعة موزيلا مسار سلطة التسجيل المخترق. (استشارة موزيلا,استشارة مايكروسوفت,متابعة موزيلا)
• حدود المساءلة:تدعم الأدلة العامة فشلًا في الإصدار المفوض، وليس اكتشافًا عامًا بأن المفاتيح الجذرية لكومودو أو وحدات أمان الأجهزة قد تم اختراقها. قالت كومودو إن البنية التحتية للمُرخص (CA) ومفاتيح HSM لم يتم اختراقها. هذا التمييز يضيق الادعاء الفني، لكنه لا يضيق مشكلة المساءلة: الحساب المفوض لا يزال ينتج شهادات موثوقة من المتصفح لنطاقات عالية القيمة.
• التقييم:كان المخترق مسؤولاً عن الاختراق ومحاولة إساءة الاستخدام. سيطرت كومودو على نموذج الإصدار المفوض، ومصادقة البائعين، وضوابط ما بعد الحادث؛ وسيطر باعة المتصفحات وأنظمة التشغيل على عدم الثقة الطارئ؛ وسيطرت برامج الجذور على الثقة المستمرة؛ وتحملت خدمات الأطراف المعتمدة والمستخدمون عواقب لم يتمكنوا من ملاحظتها مباشرة.

يمكن لسلطة الشهادات أن تفشل بعيدًا عن المفتاح الجذري

غالبًا ما تُتصور حوادث سلطات الشهادات على أنها اختراق سينمائي واحد: يسرق مهاجم مفتاحًا جذريًا خاصًا، ويزور الويب، ويحترق نظام الثقة بأكمله. كانت حادثة كومودو أكثر اعتيادية وأكثر إفادة. قالت كومودو إن البنية التحتية للمُرخص لم يتم اختراقها وأن المفاتيح الموجودة في وحدات أمان الأجهزة لم يتم اختراقها. تم إصدار الشهادات المزورة من خلال حساب سلطة تسجيل، وهو باب أمامي مفوض لمنصة طلب الشهادات. (تقرير حادث كومودو)

هذا الاختلاف مهم. كان اختراق المفتاح الجذري سيسأل عما إذا كان المرساة التشفيرية الأساسية لا تزال قابلة للاستخدام. يسأل اختراق الإصدار المفوض سؤالًا تشغيليًا أصعب: كم من القوة العملية للمُرخص توضع في حسابات الشركاء، وسير عمل البائعين، وموظفي التحقق، والأنظمة الآلية، وقنوات الإلغاء الطارئ؟ إذا كان بإمكان حساب مفوض أن يتسبب في إصدار شهادات لـ mail.google.com وwww.google.com وlogin.yahoo.com وlogin.skype.com وaddons.mozilla.org وlogin.live.com، فإن نظام الثقة لم يفشل عند الجذر الرياضي. لقد فشل عند الحافة الإدارية.

الحافة الإدارية هي المكان الذي يعيش فيه الإنترنت العام. لا يقرر المستخدمون أي سلطة تسجيل تحقق من طلب الشهادة. يرون أيقونة قفل، واسم نطاق، وقبول المتصفح للسلسلة. لا يثق بائعو المتصفحات وبرامج الجذور بمقر شركة واحد فقط؛ بل يثقون في النظام التشغيلي الذي يحيط بالمفتاح الخاص. يتضمن هذا النظام إجراءات التحقق، وأمان الحساب، والإشراف على البائعين، وأدلة التدقيق، وقدرة خدمة الإلغاء، وإعداد التقارير عن الحوادث، والاستعداد لإزالة أو تقييد الثقة عند تكرار الإخفاقات.

لذلك فإن سجل كومودو هو حالة مساءلة مفيدة لأن عدد الشهادات المزورة كان صغيرًا. تسع شهادات كافية لإظهار نمط الفشل دون دفن الدرس في آلاف الحالات الحدية. لم تكن الحادثة بحاجة إلى التسبب في حملة اعتراض جماعي معروفة لكشف مشكلة حوكمة. لقد أظهرت أن حسابًا مفوضًا يمكن أن يحول وضع المُرخص الجذري في المتصفح إلى شهادات لبعض أكثر وجهات الهوية حساسية على الإنترنت.

الأسماء نفسها تحمل المشكلة. الشهادة لنقطة نهاية تسجيل الدخول ليست قطعة أثرية زخرفية. إنها بيانات اعتماد لتقديم هوية تشفيرية للمتصفحات. إذا تمكن المهاجم من الجمع بين هذه الشهادة وإعادة توجيه حركة المرور، والتلاعب بنظام DNS، والتحكم في الشبكة المحلية، والتداخل في التوجيه، والبرامج الضارة، أو الوصول إلى الشبكة على مستوى الدولة، فقد لا يكون لدى المستخدم طريقة عادية لرؤية أن الاتصال ليس مع الخدمة المقصودة. حذرت مايكروسوفت من أنه يمكن استخدام الشهادات لانتحال المحتوى، أو شن هجمات التصيد، أو هجمات الوسيط ضد مستخدمي المتصفحات. (استشارة مايكروسوفت 2524375)

النتيجة الصحيحة محدودة. لا يظهر السجل العام أن جميع الشهادات التسع استخدمت في اعتراض واسع النطاق ناجح. قالت كومودو إن واحدة فقط شوهدت مباشرة على الإنترنت وأن مراقبة حركة مرور OCSP لم تكشف عن أي محاولة استخدام بعد الإلغاء. لا يزال مايكروسوفت وموزيلا يعاملان الحدث على أنه عاجل لأن الثقة في الشهادات هي وقائية بطبيعتها. الشهادة التي يمكنها انتحال نطاق تسجيل دخول رئيسي خطيرة قبل أن تثبت أدلة ما بعد الحادث استغلالًا جماعيًا.

التسلسل الزمني العام محدد بشكل غير عادي

تقرير حادث كومودو يعطي العمود الفقري الأول. ينص على أنه في 15 مارس 2011، تعرضت سلطة تسجيل لهجوم أدى إلى اختراق حساب مستخدم واحد لتلك السلطة. ثم تم استخدام هذا الحساب بشكل احتيالي لإصدار تسع شهادات عبر سبعة نطاقات. قالت كومودو إن جميع الشهادات ألغيت فور الاكتشاف. نفس التقرير أدرج النطاقات والأرقام التسلسلية وفصل الشهادات التي شوهدت مباشرة عن تلك التي لم تشاهد. (تقرير حادث كومودو)

ربط متابعة موزيلا هذا الفشل على مستوى الحساب بثقة المتصفح. قالت موزيلا إن شريك سلطة التسجيل لكومودو تعرض لاختراق أمني داخلي، وأن المهاجم استخدم حساب السلطة مع كومودو للتسبب في إصدار تسع شهادات مزورة. لاحظت موزيلا أيضًا أنه تم إلغاء الشهادات، وأن فايرفوكس أصدر تحديثات لحظرها، وأن موزيلا كانت تناقش تدابير إضافية مع كومودو وغيره من المُرخصين. (متابعة موزيلا)

استشارة مؤسسة موزيلا الأمنية 2011-11 موجزة ولكنها مهمة. أعلنت عن تحديث لقائمة حظر شهادات HTTPS في 22 مارس 2011، بتأثير عالٍ، ويؤثر على فايرفوكس وSeaMonkey، ووصفت عدة شهادات HTTPS غير صالحة يتم وضعها في القائمة السوداء لمنع إساءة الاستخدام. سجل باجزيلا للعمل الحظر هو مسار عام للاستجابة من جانب المتصفح. (MFSA 2011-11, Mozilla Bugzilla 642395)

أضافت استشارة مايكروسوفت الأمنية 2524375 طبقة منصة. قالت مايكروسوفت إن كومودو أبلغتها في 16 مارس 2011 أنه تم توقيع تسع شهادات نيابة عن طرف ثالث دون التحقق من هويته بشكل كافٍ. أدرجت مايكروسوفت الخصائص المتأثرة، ووصفت مخاطر الانتحال والتصيد والوسيط، وقالت إن كومودو ألغت الشهادات وأدرجتها في قائمة إلغاء الشهادات الخاصة بها. لا تزال مايكروسوفت أصدرت تحديثات لوضع الشهادات التسع في مخزن الشهادات غير الموثوقة المحلي لأن فحوصات الإلغاء لم تكن قوية بما يكفي لضمان الحماية في جميع ظروف الشبكة. (استشارة مايكروسوفت 2524375)

هذه النقطة الأخيرة هي المحور. إذا كان الإلغاء وحده موثوقًا بدرجة كافية، لكان تحديث نظام التشغيل أقل إلحاحًا. شرحت استشارة مايكروسوفت المشكلة بوضوح: عندما لا يمكن الوصول إلى نقاط نهاية CRL أو OCSP، قد تستمر المتصفحات والتطبيقات بطرق تترك المستخدمين معرضين للخطر. تم إلغاء الشهادات من قبل المُصدر، لكن برامج الطرف المعتمد لا تزال بحاجة إلى منطق عدم الثقة المحلي لإزالة عدم اليقين. هذه هي اللحظة التي يصبح فيها حادث المُرخص حادث متصفح ونظام تشغيل ونظام بيئي.

التفاصيل اللاحقة في 26 مارس في تقرير كومودو هي أيضًا كاشفة. قالت كومودو إنها اكتشفت وأحبطت اختراقًا لحساب مستخدم بائع في 26 مارس، وأن الضوابط الجديدة التي تم تنفيذها بعد حادث 15 مارس أزالت أي خطر لإصدار شهادات احتيالية. كما قالت إنها تعتقد أن الهجوم جاء من نفس الجاني. هذا التحديث ليس مجرد ملاحظة جانبية. إنه يشير إلى محاولة متكررة ضد الإصدار المفوض بعد الاختراق الأول، ويضع ضوابط ما بعد الحادث تحت المجهر. (تقرير حادث كومودو)

بالنسبة لسجل المساءلة العامة، فإن التسلسل الزمني قوي لكنه غير مكتمل. يخبر الجمهور بالتاريخ، ومسار الحساب المفوض، وعدد الشهادات، والنطاقات، وادعاء الإلغاء، واستجابة المتصفح ونظام التشغيل، ووجود محاولة لاحقة تم منعها. لا ينشر تقرير طب شرعي مستقل كامل، أو طريقة الوصول الأولية الدقيقة، أو بيئة التحكم الكاملة للبائع، أو عواقب التدقيق، أو الاتصالات الخاصة مع برامج الجذور، أو عتبات القرار الدقيقة التي استخدمها بائعو المتصفحات.

التفويض ليس ثغرة في المسؤولية

الدفاع الأكثر إغراءً في الإصدار المفوض هو أيضًا أضعف دفاع للمساءلة: لم يتم اختراق المُرخص الجذري، لذلك كان الفشل في مكان آخر. من الناحية الفنية، قد يكون هذا صحيحًا. من ناحية الحوكمة، لا يكفي. تختار سلطة الشهادات ما إذا كانت تفوض وظائف التحقق والطلب، وكيفية مصادقة الشركاء، وما هي النطاقات التي تتطلب فحوصات إضافية، وكيف يتم اكتشاف حالات الشذوذ في الإصدار، وأي الجهات المفوضة تحصل على وصول عملي إلى الإصدار الموثوق من المتصفح.

هذا لا يعني أن كل نموذج تفويض متهور. كان إصدار الشهادات على نطاق واسع يعتمد دائمًا على التوزيع. يمكن للمؤسسات، ومقدمي الاستضافة، والبائعين، وقنوات الخدمات المدارة مساعدة المنظمات في الحصول على الشهادات بسرعة. يمكن للأتمتة والتفويض تقليل التكلفة وتحسين التبني. سؤال المساءلة هو ما إذا كان نموذج التفويض يحمل ضوابط تتناسب مع ما يمكن للحساب المفوض فعله.

لم تكن شهادات كومودو لنطاقات غامضة ذات قيمة إساءة منخفضة. كانت لنطاقات مرتبطة بالبريد الإلكتروني عبر الويب، والبحث، وتوزيع البرامج، وإضافات المتصفح، وتسجيل الدخول. يجب على نظام الإصدار المفوض المفيد أن يدرك أن الشهادات للنطاقات عالية القيمة تقدم ملف مخاطر مختلفًا عن التجديدات الروتينية لنطاق شركة صغيرة. يمكن أن يظهر هذا الاعتراف كتحقق أقوى من التحكم في النطاق، وموافقة خارج النطاق، ومراقبة الأسماء عالية المخاطر، وكشف الشذوذ، وحدود المعدل، وقيود حساب الشريك، والتفويض المسبق للعميل، أو التصعيد الفوري عندما يحاول حساب البائع الإصدار لأسماء حساسة عالميًا.

تتحدث المتطلبات الأساسية الحديثة وسياسات مخازن الجذور بشكل أكثر صراحة عن هذه القضايا مما كان عليه النظام البيئي في 2011. توفر المتطلبات الأساسية لمنتدى CA/Browser الآن متطلبات عامة لإصدار شهادات الخادم، والتحقق، والإلغاء، وعمليات المُرخص. تحدد سياسة مخزن الجذور لموزيلا ومواد الإنفاذ شروط تضمين وتأديب سلطات الشهادات الموثوقة من قبل منتجات موزيلا. (المتطلبات الأساسية لمنتدى CA/Browser, سياسة مخزن الجذور لموزيلا, سياسة إنفاذ المُرخص لموزيلا)

لا ينبغي قراءة هذه المستندات الحالية إلى الوراء كدليل على أن عنصر تحكم محدد في 2011 انتهك قاعدة حالية. إنها ذات صلة لأنها تظهر كيف تعلم النظام البيئي ترجمة الثقة إلى متطلبات تشغيلية منشورة. يُسمح بالتفويض فقط إذا ظل المُرخص مسؤولاً عن النتيجة. لا يمكن للمُرخص الاستعانة بمصادر خارجية للمعنى الاجتماعي لشهادة موثوقة من المتصفح. يمكنه الاستعانة بمصادر خارجية لأجزاء من التحقق، لكن برنامج الجذر والمستخدم لا يزالان يختبران الشهادة على أنها ثقة المُرخص.

هذا هو المكان الذي تدخل فيه اقتصاديات اتصالات إساءة الاستخدام. يفرض إصدار الشهادات الاحتيالية تكاليف على أطراف لم تتخذ قرار التفويض: يجب على بائعي المتصفحات شحن التحديثات الطارئة؛ يجب على بائعي أنظمة التشغيل الحفاظ على مخازن عدم الثقة؛ يجب على مشغلي المواقع مراقبة الانتحال؛ يجب على فرق الأمن التحقق مما إذا كان المستخدمون قد تم اعتراضهم؛ يجب على المستخدمين النهائيين الاعتماد على المعالجة غير المرئية. قد يتحمل المُصدر وشريكه المفوض تكاليف التحقيق والسمعة، لكن العمل الطارئ موزع عبر النظام البيئي.

لذلك يسأل الحادث من يدفع مقابل السرعة. الإصدار السريع منخفض الاحتكاك يفيد بائعي الشهادات والعملاء عندما يعمل كل شيء. عندما يفشل حساب مفوض، تصبح نفس السرعة أحد أصول المهاجم، وتدفع أطراف أخرى لإبطاء أو التراجع عن النتيجة. يتطلب نموذج المساءلة الناضج من المُرخص استيعاب المزيد من تلك المخاطر من خلال ضوابط أقوى للشركاء، وبوابات إصدار عالية المخاطر، وإعداد تقارير إلزامية، وأدلة متاحة لبرامج الجذور.

عمل الإلغاء، ولكن ليس بما يكفي لإنهاء المشكلة

قالت كومودو إن جميع الشهادات التسع ألغيت فور الاكتشاف. هذه حقيقة ذات مغزى. الإلغاء هو أول فرامل طوارئ عندما تكون الشهادة قد أصدرت بشكل خاطئ. لكن الحادث أظهر أن الإلغاء ليس مثل الحماية الموثوقة للمستخدم. يمكن إلغاء الشهادة في المُرخص، وإدراجها في CRL، ووضع علامة عليها بواسطة OCSP، مع الاستمرار في الحاجة إلى تحديثات من جانب العميل لأن فحص الإلغاء في العالم الحقيقي غير متساوٍ.

شرحت استشارة مايكروسوفت مشكلة الطرف المعتمد بوضوح غير عادي. فحوصات CRL وOCSP مفيدة عندما يمكن الوصول إليها، لكن إخفاقات الشبكة وسلوك العميل يمكن أن تترك فجوات. لذلك أصدرت مايكروسوفت تحديثات لإضافة الشهادات المزورة إلى مخزن الشهادات غير الموثوقة لنظام ويندوز. هذا القرار جعل المنصة تتعامل مع الشهادات على أنها غير موثوقة حتى عندما لا يمكن لاسترجاع الإلغاء العادي توفير الحماية. (استشارة مايكروسوفت 2524375)

تساعد المعايير الأساسية في شرح الهيكل. يعرف RFC 5280 ملف تعريف شهادة X.509 للبنية التحتية للمفتاح العام على الإنترنت وCRL، بينما يعرف RFC 6960 OCSP كطريقة للعملاء للحصول على معلومات حالة الشهادة. تخلق هذه الأدوات مفردات عامة للإصدار والإلغاء، لكنها لا تضمن أن كل مستخدم ومتصفح وجهاز وشبكة وتطبيق يطبق نفس سلوك الفشل في نفس اللحظة. (RFC 5280, RFC 6960)

هذه الفجوة في الإنفاذ هي السبب في أهمية القوائم السوداء للمتصفح. وضع تحديث موزيلا شهادات HTTPS غير الصالحة في قائمة سوداء لمنع إساءة الاستخدام. القائمة السوداء للمتصفح هي أداة حادة، لكنها حاسمة. تزيل الاعتماد على استدعاء شبكة قد يمنعه المهاجم أو يعترضه أو يتسبب في فشله. الثمن هو أنه يجب على البائعين شحن التحديثات ويجب على المستخدمين استلامها بسرعة كافية لتكون ذات معنى. (MFSA 2011-11)

لذلك أظهر حادث كومودو نموذج طوارئ متعدد الطبقات. المُصدر يلغي. بائعو المتصفحات لا يثقون محليًا. بائعو أنظمة التشغيل لا يثقون محليًا. مشغلو المواقع يراقبون. برامج الجذور تستجوب ضوابط المُرخص. المستخدمون ينتظرون الآليات غير المرئية للعمل. وجود عدة طبقات هو قوة، لكنه أيضًا دليل على أنه لا توجد طبقة واحدة كافية.

هذه النقطة يجب أن تلطف الثناء والنقد. من العدل أن ننسب إلى كومودو الفضل في اكتشاف الشهادات والإفصاح عنها وإلغائها بسرعة كافية لدرجة أن السجل العام لم يُظهر استخدامًا واسعًا بعد الإلغاء. من العدل أيضًا أن نقول إن الإلغاء الفوري لم يكن كافيًا. تطلب الحادث من موزيلا ومايكروسوفت تحديث المنتجات لأن حماية الطرف المعتمد لا يمكن تركها بالكامل للإلغاء المباشر. هذا ليس تناقضًا. إنه الشكل الطبيعي للاستجابة لحادث الشهادة عندما تكون الشهادة الخاطئة قد هربت بالفعل.

التطور اللاحق لشفافية الشهادة يعطي الدرس إطارًا آخر. وصف RFC 6962 تصميم تسجيل عام تجريبي للشهادات، وحدد RFC 9162 لاحقًا شفافية الشهادة الإصدار 2. تعكس سياسة شفافية الشهادة لجوجل لكROM فكرة أن الشهادات المسجلة علنًا أسهل في الاكتشاف والتدقيق. (RFC 6962, RFC 9162, سياسة شفافية الشهادة لكROM)

لم تجعل شفافية الشهادة حادث كومودو 2011 مستحيلًا بأثر رجعي. لقد غيرت بيئة المساءلة للحوادث اللاحقة من خلال جعل الإصدار المخفي أصعب في الإخفاء وأسهل لأصحاب النطاقات والمراقبين والمتصفحات لملاحظته. تساعد قضية كومودو في تفسير سبب أهمية تلك الرؤية. إذا كان بإمكان حساب مفوض الإصدار لنطاق عالي القيمة، فلا ينبغي أن يضطر مالك النطاق والنظام البيئي للمتصفح إلى الانتظار للاكتشاف الخاص وحده.

الثقة في المخزن الجذري هي أداة عامة تديرها برامج خاصة

حادث كومودو هو أيضًا حالة حوكمة للمخزن الجذري. تصبح سلطة الشهادات قوية لأن المتصفحات وأنظمة التشغيل تتضمن جذورها، أو ثقة الوسائط المتسلسلة للجذور، في برامج تستخدمها مليارات الأشخاص. قرار الثقة للمستخدم محمل مسبقًا. هذا يجعل برامج الجذور أوصياء بحكم الواقع على مورد أمني عام، حتى عندما يتم تشغيلها من قبل شركات خاصة.

تصف مواد برنامج الجذر لموزيلا التوقعات العامة للمُرخصين الذين يسعون للحصول على الثقة في منتجات موزيلا. تنشر كروميوم وآبل متطلبات وسياسات برنامج الجذر الخاصة بهما. تحتفظ مايكروسوفت أيضًا ببرنامج جذر موثوق. هذه البرامج ليست متطابقة، لكنها تشترك في الفرضية المركزية بأن ثقة المتصفح والمنصة مشروطة. (سياسة مخزن الجذور لموزيلا, سياسة برنامج الجذر لكROM, برنامج شهادات الجذر لأبل, برنامج الجذر الموثوق لمايكروسوفت)

الثقة المشروطة أسهل في الوصف منها في الإنفاذ. يمكن أن تؤدي إزالة أو تقييد مُرخص رئيسي إلى كسر مواقع الويب، والمؤسسات، والخدمات الحكومية، والبوابات المحلية، والأنظمة المدمجة، والأجهزة القديمة. ترك مُرخص سيئ التحكم في مخازن الثقة يمكن أن يعرض المستخدمين للاعتراض. لذلك تتحمل برامج الجذور عبء مساءلة صعب: يجب أن تؤدب المُرخصين بقوة كافية لحماية المستخدمين، ولكن بشكل يمكن التنبؤ به بدرجة كافية حتى لا يعاني الويب من إخفاقات توفر غير ضرورية.

في 2011، أظهرت الكتابات العامة لموزيلا التوتر. كان العمل الفوري هو حظر الشهادات السيئة. العمل الأوسع كان مناقشة ما حدث، والسؤال عما إذا كان هناك حاجة إلى إجراء إضافي، وتحديد ما إذا كانت ضوابط المُرخص واستجابته تبرر استمرار الثقة. هذا ليس حكمًا من سطر واحد. يتطلب أدلة حول المسار المخترق، والاحتواء، والتحكم في الشريك، والمراقبة، والتدقيق، واحتمال التكرار.

لم يؤد حادث كومودو إلى محو بسيط للثقة في كومودو عبر الويب. هذه النتيجة بحد ذاتها مفيدة. قد تتسامح برامج الجذور مع حادث إذا اعتقدت أن المُرخص استجاب بفعالية، واحتوى الفشل، وحسن الضوابط، وقدم أدلة كافية. لكن التسامح لا ينبغي الخلط بينه وبين البراءة. الثقة المستمرة هي قرار مخاطرة تطلعي، وليس إعلانًا بأن الحادث كان غير ضار.

تعلم الجمهور أيضًا أن برامج المخزن الجذري كانت جزءًا من سلسلة الاستجابة، وليس مستهلكين سلبيين لتقارير المُرخص. نشرت موزيلا استشارة أمنية. نشرت مايكروسوفت استشارة أمنية وتحديثًا. قام بائعو المتصفحات بشحن التعليمات البرمجية. جعلت برامج الجذور والبائعون الحادث مفهومًا للمستخدمين الذين لا توجد لهم علاقة بحساب السلطة أو بائع كومودو. كان الوجه العام لنظام الثقة هو المتصفح ونظام التشغيل، وليس بائع الشهادات.

هذا يخلق تقسيم مساءلة مفيد. سيطرت كومودو على الإصدار والإلغاء. سيطر بائعو المتصفحات والمنصات على عدم الثقة الطارئ وحماية المستخدم. سيطرت برامج الجذور على الثقة المستقبلية. سيطر مشغلو المواقع على مراقبة نطاقاتهم. لا أحد يتحكم في النظام بأكمله، لكن العديد من الجهات الفاعلة تتحكم في بوابات أساسية. عندما يقول مُرخص إن بنيته التحتية لم يتم اختراقها، فقد يجيب ذلك على بوابة واحدة. لا يجيب على جميعها.

ورثت Sectigo أكثر من مجرد اسم علامة تجارية

موضوع المقال هو Sectigo لأن الكيان الحالي هو العلامة التجارية الخلف لأعمال سلطة الشهادات في كومودو. تصف المواد العامة لـ Sectigo إعادة تسمية المُرخص كومودو وأعمال دورة حياة الشهادات والثقة الرقمية. (كومودو CA أصبحت الآن Sectigo, صفحة حول Sectigo)

هذا لا يعني أن Sectigo الحالية مسؤولة عن كل تفصيل تشغيلي في 2011 بنفس الطريقة التي كانت بها إدارة كومودو في 2011 مسؤولة. تاريخ الشركات يحتاج إلى دقة. حادث 2011 ينتمي إلى سجل سلطة شهادات كومودو. مساءلة Sectigo هي إرث الثقة، ووضع السوق، وتوقعات التدقيق، وعلاقات برامج الجذور، والواجب في إظهار أن الدروس من حوادث المُرخص السابقة قد تم استيعابها في الضوابط الحالية.

تواريخ الثقة مهمة في أسواق سلطات الشهادات لأن الشهادات ليست منتجات عادية. يبيع المُرخص ادعاءً بأن المتصفحات والأطراف المعتمدة ستقبله. تأتي قيمة هذا الادعاء من الثقة المتراكمة: عمليات التدقيق، وإدراج الجذر، والامتثال، ووقت التشغيل، وخدمات الإلغاء، والتعرف على العلامة التجارية، والأدلة المتكررة على أن سوء الإصدار يتم التعامل معه بجدية. يمكن لإعادة التسمية توضيح الملكية والاستراتيجية، لكنها لا تستطيع محو تاريخ الحوادث العامة لمرساة الثقة.

بالنسبة للعملاء، السؤال العملي ليس ما إذا كان حساب السلطة لعام 2011 لا يزال ذا صلة كمخاطرة تقنية مباشرة في 2026. ربما لا، بهذا المعنى الحرفي. السؤال العملي هو ما إذا كان المُرخص الحديث يمكنه إظهار ضوابط قوية على الإصدار المفوض، وأمان الحساب، والنطاقات عالية المخاطر، والإفصاح عن الحوادث، وتسجيل شفافية الشهادة، وجودة خدمة الإلغاء، والتواصل مع برنامج الجذر. فشل الإصدار المفوض التاريخي هو دليل على سبب أهمية هذه الضوابط.

بالنسبة لبرامج الجذور، السؤال التاريخي أكثر حدة. يجب على المُرخص ذي البصمة الكبيرة للإصدار والعديد من القنوات المفوضة أو الآلية أن يثبت أنه يمكنه اكتشاف الحالات الشاذة بسرعة وتقديم تقارير عامة عن الحوادث عند حدوث خطأ ما. قاعدة بيانات المُرخصين المشتركة (CCADB) موجودة جزئيًا لتنسيق المعلومات العامة حول المُرخصين والامتثال لبرنامج الجذر. (CCADB) تتحسن المساءلة العامة عندما تكون تقارير الحوادث وأدلة المعالجة مرئية بما يكفي للباحثين والعملاء والأطراف المعتمدة لتقييم الأنماط بدلاً من البيانات المعزولة.

قضية الإرث ليست فريدة لـ Sectigo. شهد النظام البيئي للمُرخصين حوادث متعددة تتعلق بسوء الإصدار، والتحقق الضعيف، والوسائط المخترقة، وإخفاقات التدقيق، ونزاعات الإفصاح. كل حادث يعلم نفس الدرس غير المريح: ثقة المتصفح لزجة، وتكلفة عدم الثقة في المُصدر يمكن أن تكون عالية. هذه اللزوجة تعطي المُرخصين قيمة اقتصادية، لكنها ترفع أيضًا معيار الأدلة عند تلف الثقة.

النطاقات عالية القيمة تكشف الاقتصاد السياسي للإساءة

الأسماء المتأثرة لم تكن عشوائية. تحدد سجلات كومودو ومايكروسوفت شهادات لوجهات اتصال وهوية رئيسية: جوجل، وياهو، سكايب، إضافات موزيلا، مايكروسوفت لايف، واسم "Global Trustee". هذه الأهداف ذات مغزى لأنها أماكن قد يقوم فيها المستخدم بالمصادقة، أو تنزيل برامج موثوقة، أو تلقي اتصالات حساسة.

المخاطرة التقنية هي اعتراض الوسيط. المخاطرة الاقتصادية والسياسية هي أن شخصًا آخر يمكنه استغلال نظام المُرخص لاستعارة الشرعية من خدمة الضحية. ربما يكون مالك النطاق الضحية قد أمن خوادمه الخاصة، وفرض HTTPS، وأدار المفاتيح الخاصة بعناية، ودرب المستخدمين على الثقة في أيقونة القفل. يمكن لشهادة مزورة صادرة عن مُرخص موثوق تجاوز الكثير من هذا العمل إذا تم إعادة توجيه حركة المرور أو اعتراضها على مستوى الشبكة.

لهذا السبب تظهر قوة تفويض DNS في البيان. DNS والشهادات نظامان منفصلان، لكنهما يلتقيان في شعور المستخدم بـ "أين أنا؟" يمكن لـ DNS توجيه المستخدم إلى عنوان. تخبر شهادات TLS المتصفح ما إذا كانت نقطة النهاية يمكنها تقديم هوية مقبولة للنطاق. إذا تم اختراق أي من النظامين، يكون المستخدم في خطر. إذا كان يمكن التأثير على كليهما من قبل مهاجم أو بيئة شبكة قسرية، يصبح الخطر أسوأ بكثير.

اقتصاديات اتصالات إساءة الاستخدام قبيحة. قد لا يكون مالك النطاق قد اشترى أي شيء من المُرخص أو البائع المخترق. لا يزال يتعين عليه الرد على شهادة مزورة لاسمه. قد لا يكون بائعو المتصفحات قد تسببوا في الإصدار. لا يزال يتعين عليهم دفع التحديثات. قد يكون المستخدمون قد فعلوا كل شيء بشكل صحيح. لا يزالون يعتمدون على الإلغاء والقوائم السوداء وتحديثات المنصة. الطرف الذي يستفيد من سوق الإصدار منخفض الاحتكاك ليس دائمًا الطرف الذي يتحمل التكلفة الطارئة عندما يفشل الإصدار.

يساعد مراقبة CT الحديثة أصحاب النطاقات على رؤية الشهادات غير المصرح بها بسرعة أكبر، لكن الرؤية ليست سوى جزء واحد من الاقتصاديات. لا يزال يتعين على شخص ما مراقبة السجلات، وفرز التنبيهات، والاتصال بالمُصدر، وطلب الإلغاء، وإخطار العملاء إذا لزم الأمر، وتقييم ما إذا كان يمكن اعتراض حركة المرور. بالنسبة لمنصة كبيرة، هذا العمل ممكن. بالنسبة لمنظمة صغيرة، إنها ضريبة أمنية خفية أخرى. حادث المُرخص الذي يشمل نطاقًا صغيرًا يمكن أن يكون وجوديًا لتلك المنظمة مثلما يكون حادث النطاق الرئيسي محرجًا للنظام البيئي.

لذلك فإن قضية كومودو لا تتعلق فقط بالعلامات التجارية الشهيرة على الإنترنت. العلامات التجارية الشهيرة جعلت الحدث مرئيًا. نفس نموذج الإصدار المفوض كان يمكن أن يضر بموقع أخبار معارض، أو بنك صغير، أو خدمة حكومية محلية، أو بوابة صحية، أو صفحة تسجيل دخول بائع مع تدقيق عام أقل بكثير. يجب الحكم على أنظمة الثقة من خلال كيفية حماية الأطراف المعتمدة الأقل رؤية، وليس فقط من خلال مدى سرعة تنسيقها عندما يكون الهدف مشهورًا عالميًا.

الاستجابة الجيدة للحوادث لا تزال تترك أسئلة بلا إجابة

تضمنت الاستجابة العامة لكومودو حقائق مفيدة: التاريخ، واختراق حساب السلطة، والشهادات التسع، وأسماء النطاقات والأرقام التسلسلية، والإلغاء الفوري، ولغة مراقبة OCSP، وإنكار اختراق البنية التحتية للمُرخص وHSM، والمحاولة اللاحقة التي تم منعها. أضاف بائعو المتصفحات والمنصات استشارات عامة. بالنسبة لعام 2011، هذا سجل أفضل من العديد من الحوادث.

ومع ذلك، يترك السجل العام أسئلة بلا إجابة تهم المساءلة. ما هو فشل التحكم الدقيق الذي سمح باستخدام حساب السلطة؟ ما هي المصادقة والتفويض المطلوبين قبل 15 مارس وبعده؟ هل كانت هناك فحوصات للنطاقات عالية المخاطر، وإذا لم تكن كذلك، فلماذا؟ ما هي المراقبة التي لاحظت الإصدار الاحتيالي؟ كم من الوقت وجدت الشهادات قبل الإلغاء؟ أي الأطراف تم إخطارها وبأي ترتيب؟ ما هي أدلة التدقيق المستقلة التي راجعت الضوابط؟ ماذا حدث لعلاقة الشريك المفوض؟

ربما تمت مشاركة بعض هذه الإجابات بشكل خاص مع برامج جذور المتصفح أو المدققين. يمكن أن تكون الأدلة الخاصة مناسبة عندما تتضمن تفاصيل حساسة. لكن الثقة العامة لا تُبنى بالكامل في السر. لا يمكن للمستخدمين والأطراف المعتمدة تقييم موثوقية المُرخص إذا كانت كل تفاصيل المعالجة ذات مغزى سرية. الفن هو نشر أدلة كافية لإظهار تحسن التحكم دون تقديم دليل تشغيل للمهاجمين.

المحاولة المحظورة في 26 مارس تجعل هذا مهمًا بشكل خاص. قالت كومودو إن الضوابط الجديدة منعت الإصدار الاحتيالي أثناء المحاولة اللاحقة. هذا ادعاء قوي ومفيد. ومع ذلك، تلقى الجمهور وصفًا موجزًا فقط لتلك الضوابط. كان من الممكن أن يشرح سجل عام أكثر قوة بعد الحادث فئات الضوابط دون تفاصيل حساسة: مصادقة أقوى للبائع، وكشف شذوذ الإصدار، وموافقة النطاق عالي المخاطر، وتدوير بيانات اعتماد الشريك، ومراجعة التدقيق، والمراقبة الإضافية، وإعداد التقارير لبرنامج الجذر.

الدرس ليس أن استجابة كومودو العامة كانت ناقصة بشكل فريد. إنها أن حوادث المُرخص تتطلب أسلوبًا مختلفًا لتحليل ما بعد الوفاة عن ثغرات البرامج العادية. المُصدر الموثوق من المتصفح هو جزء من بنية تحتية للهوية مشتركة. عندما يسوء إصداره، يجب أن ترضي أدلة تعافيه ليس فقط عملاءه، ولكن أيضًا أصحاب النطاقات الذين لم يتعاقدوا معه أبدًا، ومستخدمي المتصفحات الذين لم يسمعوا به أبدًا، وبرامج الجذور التي تتحمل عواقب الثقة النهائية.

ما غيرته الحادثة في محادثة الثقة

حدث كومودو يقع في فترة أوسع عندما كانت PKI على الويب تصبح أقل استعدادًا لمعاملة ثقة المُرخص كسباكة خلفية غير مرئية. جلب عام 2011 أيضًا اختراق DigiNotar، وهو فشل أكبر بكثير للمُرخص أدى إلى عدم ثقة واسع النطاق. معًا، دفعت مثل هذه الأحداث النظام البيئي نحو معالجة أقوى للحوادث العامة، وCT، وإنفاذ أفضل لبرنامج الجذر، ومتطلبات أساسية أكثر تفصيلاً.

سيكون من المبسط جدًا القول إن كومودو وحدها تسببت في هذه الإصلاحات. سيكون أيضًا من المبسط جدًا ترك كومودو خارجًا. قدم الحدث مثالًا واضحًا على الإصدار الاحتيالي من خلال سلطة مفوضة، مستهدفًا نطاقات عالية القيمة، ويتطلب إجراء طارئ من المتصفح ونظام التشغيل. هذا هو بالضبط نوع الحادث الذي يجعل علاقات الثقة المخفية مرئية.

يعكس مشهد المعايير والسياسات اليوم هذا التحول. تعطي المتطلبات الأساسية لمنتدى CA/Browser للتحقق من النطاق والإلغاء خطًا أساسيًا عامًا أكثر رسمية. تنشر موزيلا وكROM وأبل ومايكروسوفت توقعات برنامج الجذر. يوفر تسجيل CT لأصحاب النطاقات والمتصفحات مصدر بيانات عام للشهادات الصادرة. يوفر CCADB تنسيق برنامج الجذر ومعلومات عامة عن المُرخص. لا توجد هذه الآليات مثالية، لكنها معًا تجعل من الصعب على المُرخص معاملة الحادث كمشكلة خدمة عملاء خاصة فقط. (المتطلبات الأساسية لمنتدى CA/Browser, CCADB, سياسة شفافية الشهادة لكROM)

نقطة الضعف المتبقية هي المساءلة بالإرهاق. يمكن للنظام البيئي إنتاج فيض من السياسات، وعمليات التدقيق، وسلاسل المناقشات، ومنشورات القوائم البريدية، وتقارير الحوادث، ومشكلات برنامج الجذر. قلة قليلة فقط تقرأها عن كثب. هذا يخلق مفارقة الشفافية: قد تكون المعلومات عامة، لكن المساءلة العملية لا تزال تعتمد على خبراء لديهم الوقت لمراقبتها. يمكن للمُرخص الامتثال لنماذج الإفصاح بينما يظل الجمهور الأوسع غير قادر على فهم ما حدث من خطأ.

إطار المخاطر لدانيال كيد يقطع هذا الروتين الورقي بسؤال من الذي يتحكم في متغيرات العواقب. في حالة كومودو، الإجابة ليست غامضة. سيطرت كومودو على الإصدار المفوض، ومصادقة البائع، والإلغاء، والاستجابة العامة. سيطر بائعو المتصفحات والمنصات على عدم الثقة المحلي والتحديثات. سيطرت برامج الجذور على الاستمرار في التضمين. سيطر مالكو النطاقات على المراقبة والتواصل مع العملاء. سيطر المهاجمون على الفعل الضار. لم يتحكم المستخدمون في شيء تقريبًا.

هذه الحقيقة الأخيرة هي السبب في أن مساءلة المُرخص يجب أن تكون صارمة. يُطلب من المستخدمين البحث عن HTTPS، وتجنب التحذيرات، والثقة في متصفحهم. عندما يفشل نظام المُرخص في المنبع، لا يمكن للمستخدمين فحص حساب البائع، أو اختراق السلطة، أو مستجيب OCSP، أو CRL، أو القائمة السوداء، أو مناقشة برنامج الجذر. إنهم يعتمدون على الضوابط المؤسسية. تستحق الضوابط المؤسسية مساءلة مؤسسية.

اختبار مساءلة أفضل للإصدار المفوض

يجب أن يبدأ اختبار مساءلة جاد لحادث الإصدار المفوض التالي قبل عدد الشهادات. أولاً، يجب أن يكون المُرخص قادرًا على إظهار الحسابات المفوضة التي يمكنها طلب الشهادات، وتحت أي مصادقة، ومع أي قيود على الأسماء عالية المخاطر، وأي موافقة مستقلة. ثانيًا، يجب أن يكون المُرخص قادرًا على إظهار كشف الشذوذ للطلبات التي تشمل المنصات الرئيسية، وأسماء تسجيل الدخول الحساسة، ونطاقات القطاع العام، والخدمات المالية، وتوزيع البرامج، وأنظمة الصحة، والأهداف عالية القيمة الأخرى.

ثالثًا، يجب أن يكون المُرخص قادرًا على إثبات سرعة الإلغاء وموثوقية الإلغاء. هذا يعني ليس فقط القول بأن الشهادة ألغيت، ولكن شرح كيف تمت حماية الأطراف المعتمدة عندما فشلت فحوصات الإلغاء أو تم حظرها. قد لا يزال بائعو المتصفحات والمنصات بحاجة إلى تحديثات عدم الثقة المحلية، لكن يجب أن يكون لدى المُرخص مسار اتصال طارئ وحزمة أدلة جاهزة لهؤلاء البائعين. رابعًا، يجب أن يكون المُرخص قادرًا على نشر تقرير حادث محدد ينص على ما حدث، وما لم يحدث، وما لا يزال غير معروف، وأي ضوابط تغيرت.

خامسًا، يجب أن تكون برامج الجذور قادرة على شرح سبب ملاءمة استمرار الثقة بعد الحادث. لا يحتاج هذا الشرح إلى كشف سجلات التدقيق الخاصة، لكن يجب أن يذكر فئات الأدلة التي تمت مراجعتها: الاحتواء، والتحكم في الشريك، وتغييرات التحقق، ومتابعة التدقيق، والمراقبة، وأداء خدمة الإلغاء، وشفافية الحادث. سادسًا، يجب أن يكون لأصحاب النطاقات طرق عملية لمراقبة الإصدار غير المصرح به والوصول إلى المُرخصين بسرعة عند ظهور التنبيهات.

يظهر حادث كومودو سبب أهمية كل قطعة. لم يكن المهاجم بحاجة إلى المفتاح الجذري لكومودو. كان الحساب المفوض كافيًا. لم يزل الإلغاء الحاجة إلى إجراء المتصفح ونظام التشغيل. لم تزل الاستشارات العامة كل سؤال حول ضوابط الشريك. العدد الصغير للشهادات لم يجعل الحادث صغيرًا، لأن الأهداف كانت نطاقات حساسة للهوية والثقة المتأثرة كانت عالمية.

بالنسبة لـ Sectigo، الدرس الموروث واضح. يكسب مُصدر الشهادات الحديث الثقة ليس فقط من خلال إصدار الشهادات على نطاق واسع، ولكن من خلال إثبات أنه لا يوجد شريك أو بائع أو مسار أتمتة أو حساب دعم يمكنه بصمت تحويل هذا النطاق ضد الجمهور. الحوادث التاريخية ليست ذنبًا دائمًا. إنها دليل دائم على أنماط الفشل التي يجب التصميم ضدها وتدقيقها ومراقبتها وشرحها.

القراءة الأكثر قابلية للدفاع عن سجل 2011 ليست ذعرًا ولا تقليلًا. اكتشفت كومودو الشهادات المزورة وألغتها وقالت إن بنيتها التحتية الجذرية لم تخترق. لا يزال على موزيلا ومايكروسوفت شحن تحديثات وقائية. أظهر المهاجم أن الإصدار المفوض يمكن أن يخلق هويات موثوقة من المتصفح لنطاقات رئيسية. تعلم النظام البيئي أن الإلغاء والثقة الجذرية والتحكم في البائع لم تكن مواضيع منفصلة. لقد كانوا سطح مساءلة واحد.

لهذا السبب لا تزال هذه الحادثة تنتمي إلى سلسلة المخاطر والمساءلة بعد خمسة عشر عامًا. القطعة الأثرية المرئية كانت شهادة. الأصل الحقيقي كان ثقة الجمهور في أن المتصفح يمكنه التمييز بين نطاق وآخر. بمجرد أن يمكن استعارة هذه الثقة من خلال حساب مفوض مخترق، لم يعد السؤال هو ما إذا كان المفتاح الجذري ظل آمنًا في HSM. السؤال هو ما إذا كان كل من كان لديه سيطرة عملية على الثقة المفوضة استخدمها بالانضباط الذي يتطلبه الاعتماد العالمي.