Osm kompromitovaných podpisových klíčů indické certifikační autority eMudhra odhalilo mezeru mezi ochranou prohlížečů a softwarem, který běží za webovými stránkami a obchodními nástroji. K jednadvacátému říjnu hlavní výrobci prohlížečů zablokovali dotčené certifikáty, některé programy mimo prohlížeče však stále mohly přijímat podvržené přihlašovací údaje, protože nekontrolují, zda byly certifikáty odvolány.
Klíčové závěry
- Výzkumníci získali osm slabých soukromých klíčů, které bylo možné použít k podepisování certifikátů vydávajících se za důvěryhodné webové stránky.
- Výrobci prohlížečů dotčené certifikáty zablokovali, samotné odvolání však nechrání software, který jeho stav nikdy nekontroluje.
- Žádné útoky na kryptoměny nebyly hlášeny; obavy se týkají zastaralého softwaru v širším internetovém prostředí.
Obsah
- Kde po úniku klíčů eMudhra přetrvává riziko
- Která ochranná opatření se dostala k uživatelům?
- Jak slabé klíče narušily ověřování webových stránek
- Proč obchodní software vyžaduje samostatnou pozornost
- Závěr
Kde po úniku klíčů eMudhra přetrvává riziko
Důležité je rozlišovat mezi odvoláním certifikátu a zajištěním toho, že mu software odmítne důvěřovat. Společnost eMudhra dotčené certifikáty odvolala, bezpečnostní výzkumník Scott Helme však varoval, že tento krok nechrání programy, které stav odvolání nekontrolují.
Helme uvedl, že jeho testy ukázaly, že nástroje curl, Python, Node, Go a Java přijaly podvržený certifikát pro rozhraní API společnosti Stripe. Šlo o demonstraci přijetí certifikátu, nikoli o důkaz, že společnost Stripe byla napadena.
Podvodný certifikát může umožnit síťovému útočníkovi vydávat se za důvěryhodnou službu a číst či měnit provoz. Blokování v prohlížečích řeší tuto možnost v chráněných prohlížečích; nedokládá však, že stejnou ochranu získala každá samostatná aplikace nebo backend.
| Položka | Podrobnosti |
|---|---|
| Mozilla a Chrome | Oba zablokovaly dotčené certifikáty 17. října; Mozilla tak učinila přibližně tři hodiny po nahlášení. |
| Apple | Reagoval následně, 19. října. |
| Microsoft | Reagoval následně, 20. října. |
| Odvolání certifikátů | Společnost eMudhra dotčené certifikáty odvolala, toto opatření však pomůže pouze softwaru, který stav odvolání kontroluje. |
| Dostupné opravy mimo prohlížeče | Opravy byly k dispozici pro Go, balíček certifi pro Python a webpki-roots pro Rust. |
| Node.js | K 21. říjnu se na opravě stále pracovalo. |
Která ochranná opatření se dostala k uživatelům?
Reakce začala poté, co výzkumník jménem Wayne 17. října upozornil výrobce prohlížečů. Předvedl, že má pod kontrolou všech osm kompromitovaných klíčů, když jimi digitálně podepsal své varování. Dostupnost oprav neznamenala, že byla aktualizována každá instalace.
Jak slabé klíče narušily ověřování webových stránek
Certifikační autority poskytují přihlašovací údaje, které prohlížeče používají k ověření totožnosti webových stránek. Jejich soukromé podpisové klíče proto nesou jinou odpovědnost než běžné heslo k webové stránce: kompromitovaný podpisový klíč lze použít k vytváření důvěryhodně vypadajících certifikátů pro jiné stránky.
Helme uvedl, že všech osm klíčů získal z veřejných certifikátů za méně než sekundu. Mezi hodnotami soukromých klíčů, které identifikoval, byly 4 a 56, což ukazuje, jak malý odpor tyto klíče kladly při pokusu o jejich získání. Podle jeho slov byly vystaveny od dubna 2025.
Podle Helmeho interpretace hlášení o chybě ve službě Mozilla eMudhra připsala problém chybě ve skriptu pro nastavení klíčů.
Proč obchodní software vyžaduje samostatnou pozornost
Uživatelé kryptoměn se nemusí obávat pouze při otevření burzy v prohlížeči. Burzovní boti, obchodní skripty a backendy peněženek mohou využívat dotčený software mimo prohlížeče. Podvržený certifikát rozhraní API burzy by teoreticky mohl útočníkovi ve stejné síti umožnit zachytit nebo změnit provoz bota.
Žádné útoky na kryptoměny nebyly hlášeny. Mudit Gupta, technický ředitel Polygon Labs, uvedl, že tato zranitelnost představuje obecný problém softwarové bezpečnosti, nikoli problém specifický pro kryptoměny, přičemž zvláštní obavy vzbuzuje starší či neaktualizovaný software. Podle něj čelí uživatelé, kteří udržují peněženky, obchodní nástroje a zařízení aktualizované, nižšímu riziku.
Závěr
Reakce prohlížečů uzavřela bezprostřední možnost vydávat se za jiné subjekty pomocí certifikátů, nevyřešila však širší problém se softwarem. Zbytkové riziko závisí na tom, zda jednotlivé nástroje kompromitované přihlašovací údaje odmítnou — nikoli pouze na tom, zda je jejich vydavatel odvolal.
Další zprávy
Upozornění
Tento článek FinanceVelix poskytuje obecné informace, nikoli personalizované finanční, investiční, právní či daňové poradenství. Tržní ceny, úrokové sazby a ekonomické podmínky se mohou měnit; investice jsou spojeny s rizikem ztráty. Uvedené skutečnosti vycházejí z materiálů dostupných v době zveřejnění a mohou se změnit. Důležité informace si ověřte nezávisle a v případě potřeby se obraťte na kvalifikovaného odborníka. Zmínka o aktivu, společnosti nebo službě nepředstavuje doporučení.
