Der eMudhra-Zertifikatsfehler veranlasste Google, Mozilla, Apple und Microsoft, zwischen dem 17. und 20. Oktober 2026 betroffene Zertifikate zu sperren, nachdem Forschende die privaten Signaturschlüssel für acht Zwischenzertifikate wiederhergestellt hatten. Google kündigte außerdem die umfassendere Entfernung eines eMudhra-Root-Zertifikats an. Die Ausrollung auf Geräten, die den Chrome Root Store nutzen, wurde für den 27. Oktober erwartet.
Wichtigste Erkenntnisse
- Für acht Zwischenzertifikate ließen sich die privaten Schlüssel leicht wiederherstellen: sechs für die Website-Sicherheit und zwei für die Codesignierung.
- Vor der Sperrung durch Chrome waren keine TLS-Zertifikate, die auf eines der sechs betroffenen Zwischenzertifikate zurückführten, öffentlich protokolliert worden. Ob eine Offenlegung außerhalb der Durchsetzung der Zertifikatstransparenz stattgefunden hat, ist unklar.
- Die geplante Entfernung des Root-Zertifikats durch Chrome könnte auch legitime Zertifikate beeinträchtigen, sodass betroffene Website-Betreiber sie ersetzen müssen.
Inhaltsverzeichnis
- Wie der eMudhra-Zertifikatsfehler das Vertrauen beeinträchtigte
- Was die Notfallsperren belegten – und was nicht
- Die umfassendere Entfernung des Root-Zertifikats setzt eine Frist für den Ersatz
- Fazit
Wie der eMudhra-Zertifikatsfehler das Vertrauen beeinträchtigte
Die betroffenen Schlüssel der in Indien ansässigen Zertifizierungsstelle wurden am 30. April 2025 generiert. Der Mozilla-Ingenieur Dennis Jackson erklärte, alle acht hätten Ganzzahlen unter 256 verwendet. Dadurch ließen sie sich nahezu sofort wiederherstellen, statt die für sichere kryptografische Schlüssel erforderliche Zufälligkeit aufzuweisen.
Mozilla stellte die Schlüssel am 17. Oktober unabhängig wieder her und bestätigte damit die Erkenntnisse des Forschers. Der Besitz der betroffenen TLS-Signaturschlüssel könnte einem Angreifer ermöglichen, Zertifikate zu fälschen, um sich gegenüber Clients, die den betreffenden Zertifizierungsstellen noch vertrauten, als Websites auszugeben.
In seiner Darstellung der Ursachen führte eMudhra das Problem auf ein Skript zur Schlüsselgenerierung zurück, das ein zweites, schwächeres Schlüsselpaar mit einer ähnlichen Bezeichnung erzeugt hatte. Dieses Paar wurde irrtümlich für die Zertifikatsignierungsanforderung verwendet; dabei kam es in mehreren Prozessschritten zu menschlichen Fehlern.
| Element | Details |
|---|---|
| Chrome | Sperrte die betroffenen öffentlichen Schlüssel am 17. Oktober 2026. |
| Firefox | Schloss die Sperrung über OneCRL am 17. Oktober um 22:59 UTC ab. |
| eMudhra | Kennzeichnete die acht betroffenen Zertifikate am 18. Oktober als widerrufen. |
| Apple | Setzte die Sperre am 19. Oktober um. |
| Microsoft | Setzte die Sperre am 20. Oktober um. |
Was die Notfallsperren belegten – und was nicht
Chrome sperrte die betroffenen öffentlichen Schlüssel über seinen CRLSet-Mechanismus. So wurden Nutzer geschützt, ohne dass ein Browser-Update oder ein Neustart erforderlich war. Firefox setzte seine OneCRL-Sperre noch am selben Tag um; anschließend widerrief eMudhra die acht Zertifikate.
Google zufolge erschienen vor der Sperrmaßnahme keine TLS-Zertifikate in den Certificate-Transparency-Protokollen, die auf eines der sechs betroffenen Zwischenzertifikate zurückführten. Daher hätten betrügerische Zertifikate dieser Zertifizierungsstellen nicht gegen Clients eingesetzt werden können, die diese Protokollierungsanforderungen durchsetzen, darunter Chrome.
Diese Feststellung klärt nicht, ob die Schlüssel andernorts missbraucht wurden. Software außerhalb von Browsern setzt die Zertifikatstransparenz nicht zwangsläufig durch und erhält möglicherweise auch keine entsprechenden Sperr-Updates. Daher bleibt das Ausmaß einer möglichen früheren Offenlegung ungeklärt.
Die umfassendere Entfernung des Root-Zertifikats setzt eine Frist für den Ersatz
In Googles Ankündigung zum Schutz von Chrome- und Android-Nutzern wurde außerdem die Entfernung von emSign ECC Root CA – G3 aus dem Chrome Root Store beschrieben. Die breite Ausrollung wurde für den 27. Oktober 2026 erwartet; in Vorabversionen sollte die Änderung früher verfügbar sein.
Diese umfassendere Maßnahme ist relevant, weil auch einige legitime Zertifikate, die auf dieses Root-Zertifikat zurückführen, in Chrome nicht mehr funktionieren werden. Google zufolge müssen betroffene Website-Betreiber TLS-Ersatzzertifikate aus einer anderen Hierarchie beantragen und installieren, die im Root Store enthalten ist. eMudhra habe sich verpflichtet, Abonnenten bei der Migration zu unterstützen.
Google erklärte außerdem, dass geprüft werde, ob die übrigen Zertifizierungsstellen von eMudhra weiterhin im Chrome Root Store enthalten sein sollten. Diese Prüfung war noch im Gange; es handelte sich nicht um eine abgeschlossene Entfernung sämtlicher eMudhra-Zertifizierungsstellen.
Fazit
Die unmittelbaren Zertifikatssperren betrafen die bekannten schwachen Schlüssel; umfassendere Abhilfemaßnahmen waren jedoch noch im Gange. Der nächste geplante Meilenstein war die für den 27. Oktober vorgesehene Ausrollung der Root-Zertifikatsentfernung in Chrome. Sie könnte legitime Websites betreffen, die Zertifikate mit Bezug zum entfernten Root-Zertifikat noch nicht ersetzt hatten.
Weitere Nachrichten lesen
Weitere Nachrichten von FinanceVelix
Haftungsausschluss
Dieser FinanceVelix-Artikel dient der allgemeinen Information und stellt keine personalisierte Finanz-, Anlage-, Rechts- oder Steuerberatung dar. Marktpreise, Zinssätze und wirtschaftliche Bedingungen können sich ändern; Anlagen sind mit Verlustrisiken verbunden. Die Angaben entsprechen dem zum Zeitpunkt der Veröffentlichung verfügbaren Informationsstand und können sich ändern. Überprüfen Sie wichtige Informationen unabhängig und ziehen Sie bei Bedarf eine qualifizierte Fachperson hinzu. Die Erwähnung eines Vermögenswerts, eines Unternehmens oder einer Dienstleistung stellt keine Empfehlung dar.
