Otte kompromitterede signeringsnøgler hos den indiske certifikatmyndighed eMudhra har afdækket et gab mellem browserbeskyttelse og den software, der kører bag websites og handelsværktøjer. Pr. 21. oktober havde de store browserproducenter blokeret de berørte certifikater, men nogle programmer uden for browsere kunne stadig acceptere forfalskede legitimationsoplysninger, fordi de ikke kontrollerer, om certifikater er blevet tilbagekaldt.
Vigtigste pointer
- Forskere genskabte otte svage private nøgler, som kunne bruges til at signere certifikater, der udgav sig for at tilhøre betroede websites.
- Browserproducenter blokerede de berørte certifikater, men tilbagekaldelse alene beskytter ikke software, der aldrig kontrollerer den.
- Der var ikke rapporteret om kryptorelaterede angreb; bekymringen omfatter forældet software på det bredere internet.
Indholdsfortegnelse
- Hvor eMudhra-nøglebruddet efterlader sårbarheder
- Hvilken beskyttelse var nået ud til brugerne?
- Hvordan svage nøgler underminerede verificering af websites
- Hvorfor handelssoftware kræver særskilt opmærksomhed
- Konklusion
Hvor eMudhra-nøglebruddet efterlader sårbarheder
Den vigtige forskel er mellem at tilbagekalde et certifikat og at sikre, at software nægter at have tillid til det. eMudhra tilbagekaldte de berørte certifikater, men sikkerhedsforskeren Scott Helme advarede om, at dette ikke beskytter programmer, der ikke kontrollerer tilbagekaldelsesstatus.
Helme sagde, at hans tests viste, at curl, Python, Node, Go og Java accepterede et forfalsket certifikat til Stripes API. Det var en demonstration af, at et certifikat blev accepteret, ikke dokumentation for, at Stripe var blevet kompromitteret.
Et svigagtigt certifikat kan gøre det muligt for en netværksaflytter at udgive sig for at være en betroet tjeneste og læse eller ændre trafik. Browserblokeringer afhjælper denne risiko i beskyttede browsere; de fastslår ikke, at alle særskilte applikationer eller backend-systemer har fået tilsvarende beskyttelse.
| Element | Detaljer |
|---|---|
| Mozilla og Chrome | Begge blokerede de berørte certifikater den 17. oktober; Mozillas blokering fulgte cirka tre timer efter rapporten. |
| Apple | Fulgte op med sin reaktion den 19. oktober. |
| Microsoft | Fulgte op den 20. oktober. |
| Certifikattilbagekaldelse | eMudhra tilbagekaldte de berørte certifikater, men softwaren skal kontrollere tilbagekaldelsen, for at foranstaltningen kan hjælpe. |
| Rettelser tilgængelige uden for browsere | Der var rettelser tilgængelige for Go, Python-pakken certifi og Rusts webpki-roots. |
| Node.js | Pr. 21. oktober afventede man stadig en rettelse. |
Hvilken beskyttelse var nået ud til brugerne?
Reaktionen begyndte, efter at en forsker ved navn Wayne den 17. oktober underrettede browserproducenterne. Han demonstrerede, at han havde kontrol over alle otte kompromitterede nøgler, ved at bruge dem til at signere sin advarsel digitalt. At rettelserne var tilgængelige, betød ikke, at alle installationer var blevet opdateret.
Hvordan svage nøgler underminerede verificering af websites
Certifikatmyndigheder udsteder de legitimationsoplysninger, som browsere bruger til at verificere websites' identitet. Deres private signeringsnøgler har derfor en anden funktion end en almindelig adgangskode til et website: En kompromitteret signeringsnøgle kan bruges til at fremstille certifikater, der ser ægte ud, for andre websites.
Helme sagde, at han genskabte alle otte nøgler fra offentlige certifikater på under et sekund. Blandt de private nøgleværdier, han identificerede, var 4 og 56, hvilket illustrerer, hvor lidt modstand nøglerne ydede mod genskabelse. Han sagde, at de havde været eksponeret siden april 2025.
Ifølge Helmes gennemgang af en Mozilla-fejlsag skyldte eMudhra problemet på en fejl i virksomhedens script til opsætning af nøgler.
Hvorfor handelssoftware kræver særskilt opmærksomhed
For kryptobrugere er den relevante eksponering ikke begrænset til at åbne en børs i en browser. Børshandelsbots, handelsscripts og wallet-backends kan være afhængige af den berørte software uden for browsere. I teorien kunne et forfalsket API-certifikat fra en børs gøre det muligt for en angriber på samme netværk at opsnappe eller ændre en bots trafik.
Der var ikke rapporteret om kryptorelaterede angreb. Mudit Gupta, teknologidirektør hos Polygon Labs, sagde, at sårbarheden var et generelt softwaresikkerhedsproblem, ikke et kryptospecifikt problem, og at ældre eller ikke-patchet software gav særlig anledning til bekymring. Han sagde, at brugere, der holder wallets, handelsværktøjer og enheder opdaterede, stod over for en lavere risiko.
Konklusion
Browsernes reaktion lukkede en umiddelbar mulighed for at udgive sig for at være en anden ved hjælp af certifikater, men løste ikke det bredere softwareproblem. Den resterende eksponering afhænger af, om de enkelte værktøjer afviser de kompromitterede legitimationsoplysninger – ikke blot af, om udstederen har tilbagekaldt dem.
Læs flere nyheder
Flere nyheder fra FinanceVelix
Ansvarsfraskrivelse
Denne FinanceVelix-artikel indeholder generel information og udgør ikke personlig finansiel, investeringsmæssig, juridisk eller skattemæssig rådgivning. Markedspriser, renter og økonomiske forhold kan ændre sig; investeringer indebærer risiko for tab. Oplysningerne afspejler det materiale, der var tilgængeligt på offentliggørelsestidspunktet, og kan ændre sig. Kontrollér vigtige oplysninger selvstændigt, og kontakt en kvalificeret fagperson efter behov. Omtale af et aktiv, en virksomhed eller en tjeneste er ikke en anbefaling.
