Segurtasun ziurtagirien banatzaile baten pasahitza '4' denean
Interneteko segurtasun-ziurtagirien esparruan albiste harrigarri bat. Goi mailako ziurtagiriak ematen zituen erakunde batek bere ziurtagarietara sartzeko zeukan babeseko pasahitza '4' zen. Erabiltzaile askok '1234' erabiltzen dutela, barre egin izan dugu sarri, baina hara non mundu mailako hainbat erakunde erabiltzaile arruntok baino arduragabeagoak direla.
Ziurtagiri hauen kontua zera da: HTTPS Interneteko URL-etan sartzean ikusi ohi dugu giltzarrapo berde bat, ziurtatzeko komunikazioa segurua dela. Hau webguneen eta nabigatzaileen artean datu-truke zifratua eta pribatuan gertatzen delako garantia da. Sustatu.eus-ek badauka bere ziurtagiria, adibidez, eta zer esanik ez datu pribatuak eskatzen dituzten webguneetan (erosketak egiteko, izen-emateetan datuak emateko...).
Ziurtagirien segurtasunak modu hierarkiko batean funtzionatzen du. Goi mailako zerbitzu batzuk daude, non ziurtagiriak sortzen diren, eta handik behera, kate edo zuhaitz-adarren eran, beste hainbatek erabiltzen dituzte. Esate baterako Sustatuk Let's Encrypt izeneko erakundearen ziurtagiriak erabiltzen ditu: ziklikoki berrizten dira, eta CodeSyntax-ek, Sustaturen azpiegitura teknikoaren arduradunak, monitorizatzen du egunero Let's Encrypt-ekin konexio automatiko bat eginez ea ziurtagarietan arazorik edo nobedaderik izan den.
Astean azaleratu dena ez da Let's Encrypt-en arazoa izan, baizik eta eMudhra izeneko beste zerbitzu batean gertatua. Urriaren 17an ikertzaile batzuek ikusi zuten eMudhraren 8 ziurtagiritan gako oso ahulak erabiltzen zituztela, 256 karakteretik beherakoak, eta horietako bat karaktere bakar hori zen: 4.
Jakinarazpena pribatuan banatu zuten ikertzaileek eta nabigatzaileen arduradunek neurriak hartu zituzten. Mozilla, Apple edo Googlek (Firefox, Safari eta Chromez arduratzen direnez) blokeatu egin behar izan zituzten eMudhraren katearekin lotuta zeuden hainbat zerbitzuren ziurtagiriak, eta migratze lanei ekin. Dena ordu gutxitan, zeren ziurtagiri gako hauek asmatuz gero, mundu mailako zerbitzu ezagunen HTTPS komunikazio osoak interferitzeko erasoak hasiko ziren.
Esteka batzuk:
Goiko ilustrazioa meme sorta horretatik atera dugu. Erreferentzia egiten dio XKCD komikigile teknofiloari, zeinak Interneten ahultasun ezagun bat marraztu zuen behin: Interneteko gauza asko dependentzia tekniko oso zehatz eta ia pertsonalen baitan daudela.
Behekoa zen irudi originala. Goiko adibidean azpiegituraren hanka ahula '4' zenbakiak ordezkatu du.
Bestalde, kontuz pasahitzekin. Ez kontsolatu pentsatuz batzuek '4' erabiltzea aitzakia dela '1234' izateko norberak, edo gako jakin bat alde guztietan errepikatzeko. PwPush izeneko zerbitzua erabil dezakezu pasahitzak sortu eta modu seguruan beste batzuei jakinarazteko, eta euskaraz dago, Sustatun argitaratu genuen bezala.
Erantzunak kargatzen...
