Zdá se, že DeepSeek nemá zaveden robustní metody pro kontrolu, zda byl ohrožen certifikát SSL. Ve skutečnosti byla aplikace kritizována za to, že se nepodařilo ověřit certifikáty SSL, což činí zranitelným proti vyvlastněním útokům a neoprávněným přístupem [1] [3]. Tento nedostatek validace umožňuje hackerům vydávat se za důvěryhodné servery a zachytit citlivé informace, jako jsou přihlašovací údaje a osobní údaje [1].
Pro účinné kontroly kompromitovaných certifikátů SSL organizace obvykle používají kombinaci manuálních a automatizovaných metod. Automatizované nástroje jsou zvláště efektivní, protože neustále sledují certifikáty pro problémy, jako je vypršení platnosti, problémy s konfigurací a kryptografické slabosti, což poskytuje oznámení v reálném čase pro nezbytné akce [9]. Neexistuje však žádný náznak, že by Deepseek taková opatření využívala.
Místo toho zranitelnosti DeepSeek zdůrazňují potřebu implementace správné ověření SSL a připnutí certifikátu, aby se zabránilo útokům na zosobnění. To zahrnuje zajištění přísných validačních protokolů SSL v kódu aplikace a provádění pravidelného testování penetrace pro detekci a opravu zranitelnosti souvisejících s SSL [1]. Integrace nástrojů, jako je Splunk Enterprise Security, může navíc pomoci sledovat a analyzovat certifikáty SSL/TLS pro potenciální hrozby [2].
Stručně řečeno, zdá se, že DeepSeek nevyužívá robustní metody pro kontrolu kompromitovaných certifikátů SSL, což představuje významná bezpečnostní rizika. Implementace robustní validace SSL a využití automatizovaných monitorovaných monitorovacích nástrojů by byly nezbytnými kroky ke zvýšení jejího zabezpečení.
Citace:
[1] https://www.apponnox.com/blog/is-your-ap-app-safe-analyzing-deepseek
[2] https://www.splunk.com/en_us/blog/tips-and-tricks/detecting-certificate-abuse-with-splunk-enterprise-security-and-stream.html
[3] https://krebsosonsecurity.com/2025/02/experts-flag-sirity-risks-in-seepseek-ap-app/
[4] https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-Leak
[5] https://emilianodc.com/papers/ijsn12.pdf
[6] https://securityaffairs.com/173666/data-bereach/deepseek-db-exposed--sensitive-informace.html
[7] https://securityscorecard.com/blog/a-deep-at-deepseek/
[8] https://projectdiscovery.io/blog/a-hackers-guide-to-ssl-certificates-featuring-tlsx
[9] https://faddom.com/ssl-certificate-monitoring-callenges-- a-stest-tractices/