Fejlen i eMudhra-certifikatet fik Google, Mozilla, Apple og Microsoft til at blokere berørte certifikater mellem 17. oktober og 20. oktober 2026, efter at forskere havde genvundet private signeringsnøgler for otte mellemliggende certifikater. Google annoncerede også en bredere fjernelse af et eMudhra-rodcertifikat, hvor udgivelse på tværs af enheder forventes at benytte Chrome Root Store den 27. oktober.
Vigtige pointer
- Otte mellemliggende certifikater havde let genvindelige private nøgler: seks til webstedssikkerhed og to til kodesignering.
- Ingen TLS-certifikater, der kædede til de seks berørte mellemled, blev offentligt logget før Chromes blokering; eksponering uden for håndhævelsen af certifikatgennemsigtighed er stadig usikker.
- Chromes planlagte root-fjernelse kan også forstyrre legitime certifikater, hvilket kræver, at de berørte webstedsoperatører udskifter dem.
Indholdsfortegnelse
- Hvordan fejlen i eMudhra-certifikatet kompromitterede tilliden
- Hvad nødblokeringerne gjorde – og ikke fastslog
- Bredere rodfjernelse skaber en erstatningsfrist
- Konklusion
Hvordan fejlen i eMudhra-certifikatet kompromitterede tilliden
De indiske certifikatmyndigheders berørte nøgler blev genereret den 30. april 2025. Mozilla-ingeniør Dennis Jackson sagde, at alle otte brugte heltal mindre end 256, hvilket gjorde dem genoprettelige næsten øjeblikkeligt i stedet for at give den tilfældighed, der forventes af sikre kryptografiske nøgler.
Mozilla genvandt uafhængigt nøglerne den 17. oktober og bekræftede forskerens resultater. Besiddelse af de berørte TLS-signaturnøgler kan gøre det muligt for en angriber at forfalske certifikater, der udgiver sig for at efterligne hjemmesider for klienter, der stadig stolede på disse myndigheder.
I sin rod-årsagsberetning tilskrev eMudhra problemet til et nøglegenereringsscript, der producerede et andet, svagere nøglepar med en lignende label. Dette par blev fejlagtigt brugt til certifikatsigneringsanmodningen, med menneskelige fejl på flere stadier af processen.
| Genstande | Detaljer |
|---|---|
| Krom | Blokerede berørte offentlige nøgler den 17. oktober 2026. |
| Firefox | Færdiggjorde OneCRL-blokering kl. 22:59 UTC den 17. oktober. |
| eMudhra | Markerede de otte berørte certifikater, der blev inddraget den 18. oktober. |
| Æble | Implementeringen af sin blokering den 19. oktober. |
| Microsoft | Implementeringen af blokeringen den 20. oktober. |
Hvad nødblokeringerne gjorde – og ikke fastslog
Chrome blokerede de berørte offentlige nøgler gennem sin CRLSet-mekanisme, hvilket beskyttede brugerne uden behov for browseropdatering eller genstart. Firefox implementerede sin OneCRL-blokering samme dag, mens eMudhra efterfølgende tilbagekaldte de otte certifikater.
Google oplyste, at der ikke optrådte TLS-certifikater, der kædede til de seks berørte mellemledte, i Certificate Transparency-logs før blokeringen. De sagde derfor, at svigagtige certifikater fra disse myndigheder ikke kunne være blevet brugt mod klienter, der håndhævede disse logningskrav, herunder Chrome.
Denne konklusion fastslår ikke, om nøglerne er blevet misbrugt andre steder. Ikke-browser-software håndhæver ikke nødvendigvis certifikatgennemsigtighed eller modtager tilsvarende blokeringsopdateringer, hvilket efterlader omfanget af tidligere eksponering uafklaret.
Bredere rodfjernelse skaber en erstatningsfrist
Googles meddelelse om beskyttelse i Chrome og Android beskrev også fjernelsen af emSign ECC Root CA – G3 fra Chrome Root Store. Bred udgivelse var forventet den 27. oktober 2026, med tidligere tilgængelighed på prerelease-kanaler.
Denne bredere handling er vigtig, fordi nogle legitime certifikater, der kædes til denne root, også vil stoppe med at fungere i Chrome. Google sagde, at berørte webstedsoperatører skal hente og installere erstatnings-TLS-certifikater fra et andet hierarki inkluderet i deres rodbutik, og at eMudhra havde forpligtet sig til at hjælpe abonnenter med at migrere.
Google sagde også, at de undersøgte, om eMudhras resterende certifikatautoriteter fortsat skulle inkluderes i Chrome Root Store. Den gennemgang var i gang, ikke en fuldstændig fjernelse af alle eMudhra-beføjelser.
Konklusion
De umiddelbare certifikatblokeringer adresserede de kendte svage nøgler, men bredere udbedring var stadig i gang. Den næste planlagte milepæl var Chromes udrulning af root-removal den 27. oktober, som kunne påvirke legitime sider, der ikke havde erstattet certifikater knyttet til den fjernede root.
Læs flere nyheder
Ansvarsfraskrivelse
Denne FinanceVelix artikel giver generel information, ikke personlig finansiel, investerings-, juridisk eller skatterådgivning. Markedspriser, renter og økonomiske forhold kan ændre sig; investeringer indebærer en risiko for tab. Fakta afspejler det tilgængelige materiale ved offentliggørelse og kan ændre sig. Tjek vigtig information uafhængigt og konsulter en kvalificeret fagperson, når det er nødvendigt. At nævne et aktiv, selskab eller en tjeneste er ikke en anbefaling.
