ใบรับรองอีมุดรา 8 ฉบับถูกบล็อก แต่บอทเทรดคริปโตอาจยังเสี่ยง เซอร์ติกเตือน

มีคำเตือนว่าบอทเทรดคริปโตและแอปพลิเคชันของเทรดเดอร์อาจยังคงเสี่ยงจากช่องโหว่ด้านความปลอดภัยของใบรับรองที่ออกโดยอีมุดรา (eMudhra) หน่วยงานออกใบรับรองดิจิทัลของอินเดีย แม้ Google แอปเปิล(AAPL) และไมโครซอฟท์(MSFT) จะบล็อกใบรับรองที่มีปัญหาไปแล้ว แต่มาตรการนี้อาจไม่ครอบคลุมถึงซอฟต์แวร์ที่ทำงานนอกเบราว์เซอร์

เผยเพ่ยอู๋(Peiyu Wang) ผู้อำนวยการอาวุโสฝ่ายความปลอดภัยสินทรัพย์ดิจิทัลของเซอร์ติก(CertiK) บริษัทความปลอดภัยบล็อกเชน ให้สัมภาษณ์กับ Cointelegraph ว่า บริษัทเทคโนโลยีรายใหญ่ได้บล็อกใบรับรองที่มีช่องโหว่ 8 ฉบับของอีมุดราไปแล้วจนถึงวันที่ 20 (เวลาท้องถิ่น) แต่มาตรการนี้เพียงอย่างเดียวอาจไม่สามารถปกป้องแอปพลิเคชันคริปโตที่ใช้ระบบความปลอดภัยแยกต่างหากได้

'การบล็อกโดยเบราว์เซอร์หลักช่วยลดความเสี่ยงของไคลเอนต์ที่รับและใช้การอัปเดตนี้ได้มาก' Wang กล่าว พร้อมเสริมว่า 'แอปพลิเคชันบางส่วนที่อยู่นอกระบบนิเวศเบราว์เซอร์ไม่ได้บังคับใช้ Certificate Transparency หรือไม่ได้รับการป้องกันการเพิกถอนใบรับรองแบบเดียวกัน' Certificate Transparency คือระบบตรวจสอบใบรับรองที่ออกแล้วโดยเทียบกับบันทึกสาธารณะ ซึ่งหมายความว่าซอฟต์แวร์อย่างบอทเทรดหรือแอปของเทรดเดอร์ที่ทำงานแยกจากเบราว์เซอร์ อาจไม่ได้รับการคุ้มครองจากการบล็อกดังกล่าว

Wang ย้ำว่าบริการคริปโตไม่ได้เสี่ยงต่อช่องโหว่นี้มากกว่าอุตสาหกรรมอื่นโดยธรรมชาติ แต่หากผู้โจมตีนำใบรับรองที่ถูกเจาะไปใช้งาน ก็อาจปลอมตัวเป็นการเชื่อมต่อ HTTPS ที่เทรดเดอร์ กระเป๋าเงินดิจิทัล และ API ใช้งานอยู่ได้ HTTPS คือวิธีเข้ารหัสการสื่อสารระหว่างผู้ใช้กับบริการ และยืนยันว่าปลายทางที่เชื่อมต่อนั้นเป็นของจริง

ความเสี่ยงที่ Wang ระบุมี 2 ประการ คือ การสับเปลี่ยนที่อยู่รับฝากเงิน และการหลอกล่อให้ผู้ใช้อนุมัติธุรกรรมที่เป็นอันตราย ทั้งนี้การโจมตีลักษณะนี้ต้องอาศัยการดักจับหรือเปลี่ยนเส้นทางทราฟฟิกอินเทอร์เน็ตของผู้ใช้ด้วย Wang อธิบายว่าเพียงแค่กุญแจของหน่วยงานออกใบรับรองถูกเจาะ ไม่ได้ทำให้กุญแจส่วนตัวของกระเป๋าเงินดิจิทัลรั่วไหลแต่อย่างใด

เรื่องนี้เริ่มต้นจากรายงานที่ระบุว่าใบรับรอง TLS จำนวน 8 ฉบับของอีมุดรามีความแข็งแรงของกุญแจส่วนตัวต่ำ จนเสี่ยงต่อการถูกปลอมแปลงเว็บไซต์ กุญแจส่วนตัวคือข้อมูลสำคัญที่รองรับความน่าเชื่อถือของลายเซ็นดิจิทัลในระบบใบรับรอง ต่อมาCoinDesk รายงานเมื่อวันที่ 21 ว่ากุญแจลับ 8 ชุดของอีมุดราถูกเจาะ และบริษัทเบราว์เซอร์กับซอฟต์แวร์ต่าง ๆ กำลังเร่งแก้ไขปัญหา

เซอร์ติกประเมินว่า มาตรการบล็อกของบริษัทเทคโนโลยีรายใหญ่ช่วยลดความเสี่ยงจากการเข้าถึงผ่านเบราว์เซอร์ได้ ขณะที่ Wang เรียกร้องให้ผู้ให้บริการคริปโตอัปเดตซอฟต์แวร์และคลังใบรับรองที่เชื่อถือได้ให้เป็นปัจจุบัน พร้อมตรวจสอบให้แน่ใจว่าแอปพลิเคชันของตนปฏิเสธใบรับรองที่ได้รับผลกระทบจริงหรือไม่