Zranitelnost certifikátů eMudhra přiměla společnosti Google, Mozilla, Apple a Microsoft k zablokování dotčených certifikátů mezi 17. a 20. říjnem 2026 poté, co výzkumníci získali soukromé podpisové klíče k osmi zprostředkujícím certifikátům. Google také oznámil širší odstranění kořenového certifikátu eMudhra; jeho zavedení na zařízeních využívajících Chrome Root Store se očekává 27. října.
Hlavní body
- Osm zprostředkujících certifikátů mělo soukromé klíče, které bylo možné snadno získat: šest pro zabezpečení webových stránek a dva pro podepisování kódu.
- Před zablokováním v Chromu nebyly ve veřejných protokolech zaznamenány žádné TLS certifikáty navazující na šest dotčených zprostředkujících certifikátů; rozsah případného vystavení mimo mechanismy vynucující transparentnost certifikátů zůstává nejistý.
- Plánované odstranění kořenového certifikátu z Chromu může narušit fungování i legitimních certifikátů, takže provozovatelé dotčených webových stránek je budou muset nahradit.
Obsah
- Jak zranitelnost certifikátů eMudhra narušila důvěru
- Co nouzové blokování potvrdilo – a co nikoli
- Širší odstranění kořenového certifikátu stanovuje lhůtu pro jeho nahrazení
- Závěr
Jak zranitelnost certifikátů eMudhra narušila důvěru
Dotčené klíče této certifikační autority se sídlem v Indii byly vygenerovány 30. dubna 2025. Inženýr Mozilly Dennis Jackson uvedl, že všech osm používalo celá čísla menší než 256, takže je bylo možné získat téměř okamžitě, místo aby poskytovaly náhodnost očekávanou od bezpečných kryptografických klíčů.
Mozilla klíče nezávisle získala 17. října, čímž potvrdila zjištění výzkumníka. Držení dotčených podpisových klíčů TLS by útočníkovi mohlo umožnit padělat certifikáty a vydávat se za webové stránky vůči klientům, kteří těmto autoritám stále důvěřovali.
Ve zprávě o příčině problému eMudhra uvedla, že jej způsobila skriptovací chyba při generování klíčů: skript vytvořil druhý, slabší pár klíčů s podobným označením. Tento pár byl omylem použit pro žádost o podepsání certifikátu; v několika fázích procesu došlo k lidským chybám.
| Položka | Podrobnosti |
|---|---|
| Chrome | Zablokoval dotčené veřejné klíče 17. října 2026. |
| Firefox | Dokončil blokování prostřednictvím OneCRL 17. října ve 22:59 UTC. |
| eMudhra | Označila osm dotčených certifikátů za zneplatněné 18. října. |
| Apple | Zavedl blokování 19. října. |
| Microsoft | Zavedl blokování 20. října. |
Co nouzové blokování potvrdilo – a co nikoli
Chrome zablokoval dotčené veřejné klíče prostřednictvím mechanismu CRLSet, čímž ochránil uživatele bez nutnosti aktualizovat nebo restartovat prohlížeč. Firefox ve stejný den zavedl blokování OneCRL a eMudhra následně zneplatnila osm certifikátů.
Google uvedl, že před zahájením blokování se v protokolech Certificate Transparency neobjevil žádný TLS certifikát navazující na šest dotčených zprostředkujících certifikátů. Podle společnosti proto nebylo možné použít podvodné certifikáty vydané těmito autoritami proti klientům, kteří tyto požadavky na zaznamenávání vynucují, včetně Chromu.
Toto zjištění však nepotvrzuje, zda byly klíče zneužity jinde. Software mimo prohlížeče nemusí vynucovat transparentnost certifikátů ani přijímat rovnocenné aktualizace blokování, takže rozsah případného dřívějšího vystavení zůstává nevyjasněný.
Širší odstranění kořenového certifikátu stanovuje lhůtu pro jeho nahrazení
Oznámení Googlu o ochraně uživatelů Chromu a Androidu popisovalo také odstranění certifikátu emSign ECC Root CA – G3 z úložiště Chrome Root Store. Širší zavedení se očekávalo 27. října 2026, přičemž dřívější dostupnost měla být zajištěna v předběžných verzích.
Tento širší krok je důležitý, protože některé legitimní certifikáty, které navazují na tento kořenový certifikát, přestanou v Chromu fungovat. Google uvedl, že provozovatelé dotčených webových stránek musí získat a nainstalovat náhradní TLS certifikáty z jiné hierarchie zahrnuté v jeho úložišti kořenových certifikátů a že se eMudhra zavázala pomoci svým předplatitelům s migrací.
Google také uvedl, že prověřuje, zda mají být zbývající certifikační autority eMudhra nadále zahrnuty v Chrome Root Store. Toto prověřování stále probíhalo; nešlo o dokončené odstranění všech autorit eMudhra.
Závěr
Okamžité zablokování certifikátů řešilo známé slabé klíče, širší nápravná opatření však stále probíhala. Dalším plánovaným milníkem bylo zavedení odstranění kořenového certifikátu z Chromu 27. října, které mohlo ovlivnit legitimní weby, jež dosud nenahradily certifikáty navázané na odstraňovaný kořenový certifikát.
Další zprávy
Upozornění
Tento článek FinanceVelix poskytuje obecné informace, nikoli personalizované finanční, investiční, právní nebo daňové poradenství. Tržní ceny, úrokové sazby a ekonomické podmínky se mohou měnit; investice s sebou nesou riziko ztráty. Fakta vycházejí z informací dostupných v době zveřejnění a mohou se změnit. Důležité informace si ověřte nezávisle a v případě potřeby se obraťte na kvalifikovaného odborníka. Zmínka o aktivu, společnosti nebo službě neznamená jejich doporučení.
