اختراق مفاتيح eMudhra: لماذا يجب أن تراجع شهادات موقعك اليوم؟

من بين أخبار اليوم توقفت عند خبر قد يبدو تقنياً بحتاً، لكنه يمس أساس الثقة في الإنترنت. نقل موقع The Hacker News أن Mozilla وبرنامج Chrome Root Program التابع لجوجل أكدا في 20 أكتوبر أن المفاتيح الخاصة لثماني شهادات وسيطة تابعة لجهة إصدار الشهادات eMudhra قد تعرضت للاختراق. وذكر التقرير أن ذلك استدعى إصلاحات طارئة في المتصفحات والبرمجيات.

ماذا حدث ولماذا هو خطير؟

عندما تفتح موقعاً بقفل أخضر في المتصفح، فأنت تثق بشهادة وقّعتها جهة موثوقة. والشهادة الوسيطة هي الحلقة التي توقّع الشهادات التي تعرضها المواقع. فمن يملك المفتاح الخاص لإحدى هذه الشهادات يستطيع، بحسب الخبر، أن يصدر شهادة لأي موقع، وسيقبلها المتصفح على أنها سليمة.

تخيّل أن يحصل شخص على ختم رسمي لجهة حكومية. لن يحتاج إلى اختراق موقع البنك، بل يكفيه أن يوجّه المستخدم إلى موقع مزيّف يحمل شهادة يعدّها المتصفح صحيحة. وهذا يفتح الباب أمام التنصت وانتحال المواقع، خصوصاً على الشبكات العامة.

لماذا يهمنا في الخليج؟

اقتصادنا يعتمد بكثرة على الخدمات الرقمية: الدفع الإلكتروني، والبنوك، والخدمات الحكومية، والتجارة الإلكترونية، وتطبيقات التوصيل. وكل هذه الخدمات تقوم على أن الشهادة الرقمية تعني هوية حقيقية. وحين تهتز الثقة في جهة إصدار واحدة، تتأثر الشركات التي استخدمت شهاداتها، ويتأثر المستخدمون الذين يعتمدون على المتصفحات والأنظمة التي تثق بها.

ولا يذكر الخبر الذي بين يدي أي أثر خاص بدول الخليج، ولن أخمّن في ذلك. لكن الدرس عام: أي شركة تعمل عبر الإنترنت قد تجد نفسها يوماً أمام سلسلة ثقة انكسرت إحدى حلقاتها دون أن يكون لها ذنب في ذلك.

ما الذي أنصح به؟

• حدّث المتصفحات وأنظمة التشغيل على أجهزة الموظفين والخوادم. الإصلاحات الطارئة التي ذكرها التقرير تصل عبر التحديثات، وتأخيرها يبقيك مكشوفاً.
• اجرد شهاداتك: اعرف أي جهة أصدرت شهادة كل موقع أو خدمة أو واجهة برمجية تملكها. كثير من الشركات لا تملك هذه القائمة أصلاً.
• راجع الجهة المصدرة: إن كنت تستخدم شهادات من eMudhra، فتابع إعلاناتها وإعلانات المتصفحات الرسمية، وجهّز بديلاً عند الحاجة.
• راقب سجلات شفافية الشهادات بحثاً عن شهادات صدرت لنطاقاتك دون علمك.
• اضبط سجلات CAA في إعدادات النطاق لتحديد الجهات المسموح لها بإصدار شهادات لك.
• تدرّب على التبديل السريع: إن احتجت إلى استبدال كل شهاداتك خلال يوم واحد، فهل فريقك قادر؟ الأتمتة هنا ليست ترفاً.

رأيي بصراحة

أرى أن هذا النوع من الأخبار يُهمَل لأنه لا يشبه الاختراقات التي تتصدر العناوين، فلا يوجد فيه مبلغ فدية ولا بيانات مسرّبة. لكنه أخطر في جوهره، لأن ضرب جهة الثقة يضرب الأساس الذي يقوم عليه كل شيء آخر. وأُقدّر أن المتصفحات تحركت بسرعة وبإعلان واضح، فهذه هي الطريقة الصحيحة للتعامل مع الأزمات.

وأقول لأصحاب الشركات الصغيرة والمتوسطة خصوصاً: لا تتركوا الشهادات الرقمية لمن يتذكرها عند انتهاء صلاحيتها فقط. اجعلوها جزءاً من إدارة المخاطر، مع مسؤول محدد وقائمة محدثة وخطة بديلة. فالسؤال ليس هل ستقع حادثة مماثلة، بل هل ستكون جاهزاً حين تقع.

سأتابع تفاصيل هذه الحادثة، وخصوصاً ما لم يكتمل في التقرير الأولي عن كيفية اكتشاف المشكلة والإبلاغ عنها، وأعود إليكم بما يستجد.