Zdi se, da Deepseek nima močnih metod za preverjanje, ali je bilo potrdilo SSL ogroženo. Pravzaprav je bila aplikacija kritizirana, ker ni potrdila potrdil SSL, zaradi česar je ranljiva za lažno predstavljanje napadov in nepooblaščenega dostopa [1] [3]. To pomanjkanje validacije omogoča hekerjem, da se predstavijo zaupanja vredni strežniki in prestrežejo občutljive informacije, kot so poverilnice za prijavo in osebni podatki [1].
Za učinkovito preverjanje ogroženih potrdil SSL organizacije običajno uporabljajo kombinacijo ročnih in avtomatiziranih metod. Avtomatizirana orodja so še posebej učinkovita, saj nenehno spremljajo potrdila o vprašanjih, kot so iztek, težave s konfiguracijo in kriptografske pomanjkljivosti, kar zagotavlja obvestila v realnem času za potrebna dejanja [9]. Vendar pa ni znakov, da Deepseek uporablja takšne ukrepe.
Namesto tega ranljivosti Deepseeka izpostavljajo potrebo po izvajanju ustrezne potrditve SSL in pritrditve potrdila, da se prepreči napade lažnega predstavljanja. To vključuje zagotavljanje strogih protokolov za validacijo SSL v kodi aplikacije in izvajanje rednih testiranja penetracije za odkrivanje in odpravljanje ranljivosti, povezanih s SSL [1]. Poleg tega bi lahko integracija orodij, kot je Splunk Enterprise Security, pomagala spremljati in analizirati potrdila SSL/TLS za morebitne grožnje [2].
Če povzamemo, se zdi, da Deepseek ne uporablja močnih metod za preverjanje ogroženih potrdil SSL, kar predstavlja pomembna varnostna tveganja. Izvajanje robustne potrditve SSL in izkoriščanje avtomatiziranih orodij za spremljanje bi bistveni koraki za izboljšanje njene varnostne drže.
Navedbe:
[1] https://www.appknox.com/blog/is-your-ai-app-safe-analyzing-reepseek
[2] https://www.splunk.com/en_us/blog/tips-and-tricks/detecting-tertificate-abuse-with-splunk-enterprise-security-and-stream.html
[3] https://krebsonsecurity.com/2025/02/experts-flag-security-privacy-risks-in-deepseek-ai-app/
[4] https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
[5] https://emilianodc.com/papers/ijsn12.pdf
[6] https://securityaffairs.com/173666/data-breach/deepseek-db-exposed-ighly-sensive-information.html
[7] https://securityscorecard.com/blog/a-meep-peek-at-deepseek/
[8] https://projectdiscovery.io/blog/a-hackers-guide-to-ssl-certificate-Featuring-TLSX
[9] https://faddom.com/SSL-Certificate-monitoring-challenges-methods-and-best-practices/