Klucze prywatne ośmiu pośrednich urzędów certyfikacji eMudhra dało się odtworzyć z samych certyfikatów
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- we-have-a-problem.com ()
Między 17 a 20 października 2026 r. Mozilla, Google, Apple i Microsoft zablokowały te urzędy, a Mozilla i Chrome wycofują zaufanie do głównego certyfikatu emSign ECC Root CA - G3. Programy, które nie sprawdzają odwołań certyfikatów, potrzebują aktualizacji.
17 października 2026 r. badacz zgłosił programom zaufanych certyfikatów Apple, Google, Microsoftu i Mozilli, że klucze prywatne ośmiu pośrednich urzędów certyfikacjiUrząd certyfikacji Podmiot, który wystawia i odwołuje certyfikaty potwierdzające tożsamość serwera, firmy albo osoby. Przeglądarki i systemy ufają certyfikatom tylko od urzędów, które mają na swojej liście. indyjskiej firmy eMudhra są skompromitowane. Jako dowód dołączył wiadomość podpisaną każdym z tych kluczy. Mozilla ustaliła, że te klucze były liczbami mniejszymi niż 256, więc każdy może je odtworzyć z certyfikatu. Sześć urzędów wystawia certyfikaty TLS, dwa certyfikaty do podpisywania kodu. Kto ma taki klucz, może podszyć się pod dowolną stronę lub usługę.
eMudhra podaje, że urzędy powstały na ceremonii generowania kluczy 30 kwietnia 2025 r. Błąd w dodatkowym kroku, który testował eksport kluczy, wytworzył drugi, słaby zestaw, a ten przez pomyłkę trafił do wniosków o certyfikaty. Firma odwołała certyfikaty urzędów 18 października, Sectigo swoje certyfikaty krzyżowe dzień później. Firefox i Chrome blokują te urzędy od 17 października, urządzenia Apple od 19, systemy Microsoftu od 20 października. Według eMudhra jej infrastruktura nie została naruszona, a dane nie wyciekły.
Google pisze, że przed blokadą w dziennikach Certificate Transparency nie było certyfikatów TLS z tych urzędów, więc przeglądarki wymagające takiego wpisu nie mogły zostać zaatakowane. Autorzy strony we-have-a-problem.com zaznaczają, że wiele programów spoza przeglądarek tego nie sprawdza, i nie wiedzą, czy ktoś wykorzystał słabe klucze. 20 października Mozilla podała, że klucze odtworzyło niezależnie kilka osób, i wycofała zaufanie do głównego certyfikatu emSign ECC Root CA - G3. Chrome usuwa go w wydaniu zapowiedzianym na 27 października. eMudhra szacuje, że do przeniesienia jest około 30 tysięcy certyfikatów.
Jeśli twoja strona ma certyfikat z tej hierarchii, Google wzywa do natychmiastowej wymiany na certyfikat z innej hierarchii zaufanej przez Chrome. Serwery, kontenery i aplikacje, które nie korzystają z list odwołań, potrzebują aktualizacji magazynu zaufanych certyfikatów. Strona zgłaszających podaje wersje z poprawką, między innymi pakietów ca-certificates w Debianie, Ubuntu, Fedorze i Alpine, Javy, Go, Node.js i pakietu certifi dla Pythona, a także adresy, na których poleceniem curl sprawdzisz, czy klient nadal ufa tym urzędom. Windows dostaje blokadę przez automatyczne aktualizacje listy zaufanych certyfikatów, a dla komputerów bez tych aktualizacji strona udostępnia skrypt PowerShell.
Źródła
- we-have-a-problem.com: eMudhra Intermediate CA Compromise
- Mozilla Bugzilla: eMudhra: Private key compromise of Intermediate Certificates
- Google: Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates
- eMudhra: eMudhra Statement on distrust of select Global TLS Intermediate and one Root CA
Pojęcia w tym tekście (1)
- Urząd certyfikacji
- Podmiot, który wystawia i odwołuje certyfikaty potwierdzające tożsamość serwera, firmy albo osoby. Przeglądarki i systemy ufają certyfikatom tylko od urzędów, które mają na swojej liście.