Nezdá sa, že by DeepSeek nemal zavedené robustné metódy na kontrolu, či bol ohrozený certifikát SSL. Aplikácia bola v skutočnosti kritizovaná za to, že nekonala overenie certifikátov SSL, čo je zraniteľné voči útokom na vydávanie a neoprávneným prístupom [1] [3]. Tento nedostatok validácie umožňuje hackerom vydávať sa za dôveryhodné servery a zachytiť citlivé informácie, ako sú prihlasovacie údaje a osobné údaje [1].
Na efektívnu kontrolu kompromitovaných certifikátov SSL organizácie zvyčajne používajú kombináciu manuálnych a automatizovaných metód. Automatizované nástroje sú obzvlášť efektívne, pretože nepretržite monitorujú certifikáty pre problémy, ako je napríklad vypršanie konfigurácie, problémy s konfiguráciou a kryptografické slabiny, poskytujú upozornenia v reálnom čase pre potrebné akcie [9]. Neexistuje však náznak, že Deepseek tieto opatrenia využíva.
Namiesto toho, zraniteľné miesta Deepseek zdôrazňujú potrebu implementácie správneho validácie SSL a pripnutia certifikátu, aby sa zabránilo útokom na zvýšenie príznakov. Zahŕňa to zabezpečenie prísnych protokolov validácie SSL v kóde APP a vykonávanie pravidelného testovania penetrácie na detekciu a opravu zraniteľností súvisiacich s SSL [1]. Integrácia nástrojov, ako je napríklad SPLUNK Enterprise Security, by navyše mohla pomôcť monitorovať a analyzovať certifikáty SSL/TLS na potenciálne hrozby [2].
V súhrne sa zdá, že Deepseek nevyužíva robustné metódy na kontrolu kompromitovaných certifikátov SSL, čo predstavuje významné bezpečnostné riziká. Implementácia robustného overenia SSL a využívanie automatizovaných nástrojov na monitorovanie by boli nevyhnutnými krokmi na zlepšenie jeho postoja zabezpečenia.
Citácie:
[1] https://www.appknox.com/blog/is-your-ai-app-safe-analyzing-deepseek
[2] https://www.splunk.com/en_us/blog/tips-and-tricks/detecting-certificate-abuse-with-splunk-enterprise-security-and-pream.html
[3] https://krebonsecurity.com/2025/02/experts-flag-security-privacy-reps-indeepseek-aip/
[4] https://www.wiz.io/blog/wiz-research-unkovers-exposed-deepseek-database-leak
[5] https://emilianoDc.com/papers/ijsn12.pdf
[6] https://securityaffairs.com/173666/data-breach/deepseek-db-exponged-highly-sensentive-information.html
[7] https://securityscorecard.com/blog/adeep-peek-at-deepseek/
[8] https://projectdiscovery.io/blog/a-hackers-guide-to-ssl-certificates-featuring-tlsx
[9] https://faddom.com/ssl-certificate-monitoring-challenges-methods-and-best-practices/