Když selže důvěra: Proč je nenápadná záplata Firefoxu důležitější, než vypadá

Většina drobných servisních aktualizací internetových prohlížečů přichází a odchází bez většího povšimnutí. Znáte to sami: v rohu okna problikne nenápadná výzva k restartu, v seznamu změn se objeví vágní zmínka o „opravě pádů při specifickém vykreslování písma“ a život běží dál. Jenže čas od času se objeví zdánlivě rutinní záplata, která neřeší kosmetiku, ale samotné základy, na nichž stojí bezpečnost a integrita sítě. Přesně takovým případem je čerstvé vydání Firefoxu s označením 158.0.1.

Abychom pochopili, proč je tato aktualizace podstatná, musíme na chvíli odhlédnout od samotného kódu prohlížeče a podívat se na princip, kterému v digitálním světě říkáme infrastruktura veřejného klíče (PKI). Když otevřete web svého oblíbeného open source projektu, své banky nebo e-mailové schránky, spoléháte na malý zelený zámeček v adresním řádku. Ten vám neříká nic víc a nic míň, než že komunikace je šifrovaná a protistrana je skutečně tím, za koho se vydává. Kdo však ručí za to, že onen šifrovací klíč nepatří podvrženému serveru uprostřed trasy?

Ručí za to takzvané kořenové certifikační autority (CA). Jde o vybrané subjekty, jejichž certifikáty má váš operační systém nebo prohlížeč předinstalované přímo ve svých útrobách. Pokud tato autorita podepíše certifikát nějakému webu, váš prohlížeč mu bez mrknutí oka věří. Je to hierarchický systém založený na absolutní důvěře – a jakmile v něm selže jediný článek, hroutí se celá stavba jako pověstný domeček z karet.

Trhlina v řetězu jménem eMudhra

Záplata ve Firefoxu 158.0.1 míří přímo na problémy spojené s certifikační autoritou eMudhra. Tato původem indická společnost patří k významným globálním hráčům v oblasti digitální identity a vystavování certifikátů. Pokud se však u takto exponovaného subjektu objeví procedurální či technické nedostatky při ověřování žadatelů nebo samotné správě klíčů, nevěstí to nic dobrého. V tom nejhorším možném scénáři by totiž útočník mohl získat platný certifikát pro doménu, kterou nevlastní, a provádět útoky typu man-in-the-middle bez jakéhokoliv varování uživatele.

Mozilla v rámci své aktualizace sáhla k úpravám důvěry a omezení platnosti problematických certifikátů. Tím efektivně zabránila tomu, aby případná pochybení na straně autority ohrozila koncové uživatele. Je fascinující sledovat, jak odlišně k těmto krizím přistupují různé tábory softwarového světa. Zatímco proprietární ekosystémy často mlží v korporátních prohlášeních a spoléhají na centralizované systémové aktualizace, které uživatel kolikrát ani nemůže ovlivnit, komunita kolem svobodného softwaru jedná otevřeně.

Nezávislost, kterou bereme jako samozřejmost

Tento incident nám připomíná ještě jednu zásadní věc, na kterou se často zapomíná. Většina dnešních prohlížečů – ať už jde o Chrome, nový Edge, Brave nebo Operu – sedí na vykreslovacím jádře Chromium a v otázce kořenových certifikátů se do značné míry spoléhá na to, co jim předžvýká operační systém od Microsoftu, Applu či Googlu. Firefox a platforma Mozilla naproti tomu udržují svůj vlastní, nezávislý repozitář důvěryhodných autorit (NSS – Network Security Services).

Tento repozitář je spravován veřejně, transparentně a za přísného dohledu komunity. Kdokoliv se může podívat do veřejných bug trackerů, pročíst si diskuse bezpečnostních inženýrů a pochopit, proč byl který certifikát přidán, omezen nebo nemilosrdně vykázán. Je to přesně ta digitální hygiena a decentralizace moci, kterou v době sílících snah o kontrolu internetu tolik potřebujeme.

Pokud vám tedy Firefox v liště nabízí restart kvůli verzi 158.0.1, neodkládejte ho. Není to jen další oprava okrajové chyby v JavaScriptu. Je to malá, ale klíčová připomínka toho, že svoboda a bezpečnost na síti nejsou samozřejmostí, ale výsledkem neustálé práce lidí, kteří odmítají brát důvěru na lehkou váhu.