عندما تتصفح الإنترنت، ترى قفلًا صغيرًا في شريط العناوين، وهذا يعني أن هوية الموقع قد تم التحقق منها. ويجري التحقق باستخدام شهادة رقمية تصدرها جهة إصدار الشهادات. يمكنك أن تفهم الأمر هكذا: تمنح جهة إصدار الشهادات الموقعَ بطاقة هوية، ولديها ختم يحمل نقشًا يتكون من سلسلة أرقام.
لدى إحدى جهات إصدار الشهادات 8 أختام، ونقوشها هي: 4، 56، 66، 115، 155، 156، 230، 237.
من المفترض أن يكون النقش رقمًا طويلًا يزيد على مئة خانة، لكنه في الواقع لا يتجاوز ثلاث خانات.
لذا يستطيع أي شخص الحصول على شهادة عامة وتجربة الاحتمالات الـ256 واحدًا تلو الآخر، ونسخ الختم في أقل من ثانية.
لم يُسرق الختم. ظل في مكانه طوال الوقت، ولم يلمس أحد الخادم. لكن النقش كان قصيرًا جدًا.
استخدم مكتشفو المشكلة هذه الأختام الثمانية لختم جملة، وأرسلوها إلى عدة شركات متصفحات: «لدينا مشكلة هنا — Wayne». أوقف فايرفوكس استخدامها بعد 3 ساعات، وغوغل في اليوم نفسه، ثم لحقت بهما آبل ومايكروسوفت خلال اليومين التاليين.
صُنعت هذه الأختام الثمانية في أبريل 2025، وبينها فاصل زمني قدره 18 شهرًا.
عند التحقق من الشهادة، لا يفعل النظام سوى التأكد من أن «الختم صحيح»، ولا يتحقق أبدًا مما إذا كان «النقش طويلًا بما يكفي أو عشوائيًا بما يكفي».
لذلك، يجتاز ختم نقشه 4 عملية التحقق تمامًا مثل ختم طويل وعشوائي حقًا: كلاهما مقبول.
ولا يوجد أيضًا سجل يسجل أن «هذه الشهادة خُتمت بختم معيب». على مدى 18 شهرًا، أظهرت جميع الأنظمة أن كل شيء على ما يرام. وفي عام 2008، شهدت دبيان خطأً من النوع نفسه: حدث خلل في مرحلة التوليد، ولم تستطع مرحلة التحقق منعه.
وقدّمت جهة أخرى أكبر حجمًا ضمانًا لهذه الأختام الثمانية، فتحولت إلى 16 شهادة.
لو استخدمها أحد لانتحال موقع منصة التداول أو المحفظة التي تستخدمها عادةً، فسيظل القفل في متصفحك أخضر، وسيظل عنوان الموقع صحيحًا. لن تعرف أن وسيطًا ما رأى شيئًا أو غيّره، ولن يُسجّل ذلك أيضًا.
الخبر الجيد أن هذه الأختام الثمانية لم تُستخدم بعد لتوقيع شهادات لمواقع بعينها، ولا توجد تقارير علنية عن إساءة استخدامها.
الخبر السيئ أن صور Docker وخوادمك القديمة وكاميراتك، وكذلك البرامج التي لا تتحقق مما إذا كانت «الشهادة قد أُبطلت»، لن تحدّث نفسها تلقائيًا. ستظل تثق بهذه الشهادات الست عشرة.
أميل إلى اعتبار هذا مشكلة في المنظومة، لا زلة من شركة بعينها. لم تكشفها المراجعة لأنها كانت تراجع الإجراءات.
هل سيكون مكتشف المشكلة التالية أيضًا شخصًا صادف أنه أجرى الحساب بنفسه؟
لدى إحدى جهات إصدار الشهادات 8 أختام، ونقوشها هي: 4، 56، 66، 115، 155، 156، 230، 237.
من المفترض أن يكون النقش رقمًا طويلًا يزيد على مئة خانة، لكنه في الواقع لا يتجاوز ثلاث خانات.
لذا يستطيع أي شخص الحصول على شهادة عامة وتجربة الاحتمالات الـ256 واحدًا تلو الآخر، ونسخ الختم في أقل من ثانية.
لم يُسرق الختم. ظل في مكانه طوال الوقت، ولم يلمس أحد الخادم. لكن النقش كان قصيرًا جدًا.
استخدم مكتشفو المشكلة هذه الأختام الثمانية لختم جملة، وأرسلوها إلى عدة شركات متصفحات: «لدينا مشكلة هنا — Wayne». أوقف فايرفوكس استخدامها بعد 3 ساعات، وغوغل في اليوم نفسه، ثم لحقت بهما آبل ومايكروسوفت خلال اليومين التاليين.
صُنعت هذه الأختام الثمانية في أبريل 2025، وبينها فاصل زمني قدره 18 شهرًا.
عند التحقق من الشهادة، لا يفعل النظام سوى التأكد من أن «الختم صحيح»، ولا يتحقق أبدًا مما إذا كان «النقش طويلًا بما يكفي أو عشوائيًا بما يكفي».
لذلك، يجتاز ختم نقشه 4 عملية التحقق تمامًا مثل ختم طويل وعشوائي حقًا: كلاهما مقبول.
ولا يوجد أيضًا سجل يسجل أن «هذه الشهادة خُتمت بختم معيب». على مدى 18 شهرًا، أظهرت جميع الأنظمة أن كل شيء على ما يرام. وفي عام 2008، شهدت دبيان خطأً من النوع نفسه: حدث خلل في مرحلة التوليد، ولم تستطع مرحلة التحقق منعه.
وقدّمت جهة أخرى أكبر حجمًا ضمانًا لهذه الأختام الثمانية، فتحولت إلى 16 شهادة.
لو استخدمها أحد لانتحال موقع منصة التداول أو المحفظة التي تستخدمها عادةً، فسيظل القفل في متصفحك أخضر، وسيظل عنوان الموقع صحيحًا. لن تعرف أن وسيطًا ما رأى شيئًا أو غيّره، ولن يُسجّل ذلك أيضًا.
الخبر الجيد أن هذه الأختام الثمانية لم تُستخدم بعد لتوقيع شهادات لمواقع بعينها، ولا توجد تقارير علنية عن إساءة استخدامها.
الخبر السيئ أن صور Docker وخوادمك القديمة وكاميراتك، وكذلك البرامج التي لا تتحقق مما إذا كانت «الشهادة قد أُبطلت»، لن تحدّث نفسها تلقائيًا. ستظل تثق بهذه الشهادات الست عشرة.
أميل إلى اعتبار هذا مشكلة في المنظومة، لا زلة من شركة بعينها. لم تكشفها المراجعة لأنها كانت تراجع الإجراءات.
هل سيكون مكتشف المشكلة التالية أيضًا شخصًا صادف أنه أجرى الحساب بنفسه؟