Fejlen i eMudhra-certifikatet fik Google, Mozilla, Apple og Microsoft til at blokere berørte certifikater mellem den 17. og 20. oktober 2026, efter at forskere havde genskabt private signeringsnøgler til otte mellemliggende certifikater. Google annoncerede også en bredere fjernelse af et eMudhra-rodcertifikat, som forventes udrullet den 27. oktober på enheder, der benytter Chrome Root Store.
Vigtigste punkter
- Otte mellemliggende certifikater havde private nøgler, der var lette at genskabe: seks til webstedssikkerhed og to til kodesignering.
- Ingen TLS-certifikater, der kædede sig sammen med de seks berørte mellemliggende certifikater, var offentligt logget, før Chrome blokerede dem. Om de blev eksponeret uden for håndhævelsen af certifikattransparens, er fortsat usikkert.
- Chromes planlagte fjernelse af rodcertifikatet kan også forstyrre legitime certifikater, så berørte webstedsoperatører skal erstatte dem.
Indholdsfortegnelse
- Sådan undergravede fejlen i eMudhra-certifikatet tilliden
- Hvad nødblokeringerne fastslog – og ikke fastslog
- Bredere fjernelse af rodcertifikat skaber en frist for udskiftning
- Konklusion
Sådan undergravede fejlen i eMudhra-certifikatet tilliden
De berørte nøgler fra den Indien-baserede certifikatudsteder blev genereret den 30. april 2025. Mozilla-ingeniøren Dennis Jackson sagde, at alle otte anvendte heltal mindre end 256, hvilket gjorde dem næsten øjeblikkeligt mulige at genskabe i stedet for at have den tilfældighed, der forventes af sikre kryptografiske nøgler.
Mozilla genskabte uafhængigt nøglerne den 17. oktober og bekræftede dermed forskerens resultater. Besiddelse af de berørte TLS-signeringsnøgler kunne gøre det muligt for en angriber at forfalske certifikater, der udgav sig for at tilhøre websteder, over for klienter, som stadig havde tillid til disse certifikatudstedere.
I sin redegørelse for de grundlæggende årsager henførte eMudhra problemet til et script til nøglegenerering, der producerede et andet, svagere nøglepar med en lignende betegnelse. Dette nøglepar blev ved en fejl brugt til certifikatsigneringsanmodningen, og der opstod menneskelige fejl på flere trin i processen.
| Element | Oplysninger |
|---|---|
| Chrome | Blokerede de berørte offentlige nøgler den 17. oktober 2026. |
| Firefox | Gennemførte blokeringen via OneCRL kl. 22:59 UTC den 17. oktober. |
| eMudhra | Markerede de otte berørte certifikater som tilbagekaldt den 18. oktober. |
| Apple | Implementerede sin blokering den 19. oktober. |
| Microsoft | Implementerede sin blokering den 20. oktober. |
Hvad nødblokeringerne fastslog – og ikke fastslog
Chrome blokerede de berørte offentlige nøgler via sin CRLSet-mekanisme, hvilket beskyttede brugerne uden krav om en browseropdatering eller genstart. Firefox indførte sin OneCRL-blokering samme dag, mens eMudhra efterfølgende tilbagekaldte de otte certifikater.
Google oplyste, at der ikke optrådte TLS-certifikater, som kædede sig sammen med de seks berørte mellemliggende certifikater, i Certificate Transparency-logfilerne, før blokeringen blev gennemført. Google sagde derfor, at falske certifikater fra disse certifikatudstedere ikke kunne være blevet brugt mod klienter, der håndhæver disse logningskrav, herunder Chrome.
Dette resultat fastslår ikke, om nøglerne blev misbrugt andre steder. Software uden for browsere håndhæver ikke nødvendigvis certifikattransparens eller modtager tilsvarende blokeringer via opdateringer, så omfanget af en eventuel tidligere eksponering er fortsat uafklaret.
Bredere fjernelse af rodcertifikat skaber en frist for udskiftning
Googles meddelelse om beskyttelse af Chrome- og Android-brugere beskrev også fjernelsen af emSign ECC Root CA – G3 fra Chrome Root Store. En bred udrulning forventedes den 27. oktober 2026, med tidligere tilgængelighed i forhåndsudgivelseskanaler.
Denne bredere indsats er vigtig, fordi nogle legitime certifikater, der kæder sig sammen med dette rodcertifikat, også vil holde op med at fungere i Chrome. Google sagde, at berørte webstedsoperatører skal anskaffe og installere nye TLS-certifikater fra et andet hierarki, der er inkluderet i virksomhedens rodcertifikatlager, og at eMudhra havde forpligtet sig til at hjælpe abonnenter med overgangen.
Google sagde også, at virksomheden undersøgte, om eMudhras øvrige certifikatudstedere fortsat burde være inkluderet i Chrome Root Store. Denne gennemgang var stadig i gang; der var ikke tale om en gennemført fjernelse af alle eMudhras certifikatudstedere.
Konklusion
De umiddelbare certifikatblokeringer håndterede de kendte svage nøgler, men den bredere afhjælpning var stadig i gang. Den næste planlagte milepæl var Chromes udrulning af fjernelsen af rodcertifikatet den 27. oktober, som kunne påvirke legitime websteder, der ikke havde erstattet certifikater knyttet til det fjernede rodcertifikat.
Læs flere nyheder
Flere nyheder fra FinanceVelix
Ansvarsfraskrivelse
Denne artikel fra FinanceVelix indeholder generelle oplysninger og udgør ikke personlig finansiel rådgivning, investeringsrådgivning, juridisk rådgivning eller skatterådgivning. Markedspriser, renter og økonomiske forhold kan ændre sig; investeringer indebærer risiko for tab. Oplysningerne afspejler det tilgængelige materiale på udgivelsestidspunktet og kan ændre sig. Kontrollér vigtige oplysninger uafhængigt, og rådfør dig om nødvendigt med en kvalificeret fagperson. Omtale af et aktiv, en virksomhed eller en tjeneste er ikke en anbefaling.
