Το ελάττωμα πιστοποιητικού της eMudhra οδήγησε την Google, τη Mozilla, την Apple και τη Microsoft να αποκλείσουν τα επηρεαζόμενα πιστοποιητικά μεταξύ 17 και 20 Οκτωβρίου 2026, αφού ερευνητές ανέκτησαν τα ιδιωτικά κλειδιά υπογραφής για οκτώ ενδιάμεσα πιστοποιητικά. Η Google ανακοίνωσε επίσης την ευρύτερη αφαίρεση ενός ριζικού πιστοποιητικού της eMudhra, με την κυκλοφορία της ενημέρωσης στις συσκευές που βασίζονται στο Chrome Root Store να αναμένεται στις 27 Οκτωβρίου.
Βασικά σημεία
- Οκτώ ενδιάμεσα πιστοποιητικά διέθεταν ιδιωτικά κλειδιά που μπορούσαν να ανακτηθούν εύκολα: έξι για την ασφάλεια ιστοτόπων και δύο για υπογραφή κώδικα.
- Πριν από τον αποκλεισμό του Chrome, δεν είχαν καταγραφεί δημόσια πιστοποιητικά TLS που να συνδέονται με τα έξι επηρεαζόμενα ενδιάμεσα πιστοποιητικά· η έκθεση εκτός της επιβολής των απαιτήσεων διαφάνειας πιστοποιητικών παραμένει αβέβαιη.
- Η προγραμματισμένη αφαίρεση του ριζικού πιστοποιητικού από το Chrome ενδέχεται επίσης να διαταράξει τη λειτουργία νόμιμων πιστοποιητικών, καθιστώντας αναγκαία την αντικατάστασή τους από τους διαχειριστές των επηρεαζόμενων ιστοτόπων.
Πίνακας περιεχομένων
- Πώς το ελάττωμα πιστοποιητικού της eMudhra υπονόμευσε την εμπιστοσύνη
- Τι έδειξαν —και τι δεν τεκμηρίωσαν— οι επείγοντες αποκλεισμοί
- Η ευρύτερη αφαίρεση ριζικού πιστοποιητικού δημιουργεί προθεσμία αντικατάστασης
- Συμπέρασμα
Πώς το ελάττωμα πιστοποιητικού της eMudhra υπονόμευσε την εμπιστοσύνη
Τα επηρεαζόμενα κλειδιά της αρχής πιστοποίησης με έδρα την Ινδία δημιουργήθηκαν στις 30 Απριλίου 2025. Ο μηχανικός της Mozilla Dennis Jackson δήλωσε ότι και τα οκτώ χρησιμοποιούσαν ακέραιους αριθμούς μικρότερους από 256, με αποτέλεσμα να μπορούν να ανακτηθούν σχεδόν ακαριαία, αντί να διαθέτουν την τυχαιότητα που αναμένεται από ασφαλή κρυπτογραφικά κλειδιά.
Η Mozilla ανέκτησε ανεξάρτητα τα κλειδιά στις 17 Οκτωβρίου, επιβεβαιώνοντας τα ευρήματα του ερευνητή. Η κατοχή των επηρεαζόμενων κλειδιών υπογραφής TLS θα μπορούσε να επιτρέψει σε έναν εισβολέα να πλαστογραφήσει πιστοποιητικά και να υποδυθεί ιστοτόπους σε πελάτες που εξακολουθούσαν να εμπιστεύονται τις εν λόγω αρχές.
Στην περιγραφή της ανάλυσης της βασικής αιτίας, η eMudhra απέδωσε το πρόβλημα σε ένα σενάριο δημιουργίας κλειδιών, το οποίο παρήγαγε ένα δεύτερο, ασθενέστερο ζεύγος κλειδιών με παρόμοια ετικέτα. Το ζεύγος αυτό χρησιμοποιήθηκε κατά λάθος για το αίτημα υπογραφής πιστοποιητικού, ενώ σε πολλαπλά στάδια της διαδικασίας σημειώθηκαν ανθρώπινα λάθη.
| Στοιχείο | Λεπτομέρειες |
|---|---|
| Chrome | Απέκλεισε τα επηρεαζόμενα δημόσια κλειδιά στις 17 Οκτωβρίου 2026. |
| Firefox | Ολοκλήρωσε τον αποκλεισμό μέσω OneCRL στις 22:59 UTC στις 17 Οκτωβρίου. |
| eMudhra | Σήμανε τα οκτώ επηρεαζόμενα πιστοποιητικά ως ανακληθέντα στις 18 Οκτωβρίου. |
| Apple | Εφάρμοσε τον αποκλεισμό της στις 19 Οκτωβρίου. |
| Microsoft | Εφάρμοσε τον αποκλεισμό της στις 20 Οκτωβρίου. |
Τι έδειξαν —και τι δεν τεκμηρίωσαν— οι επείγοντες αποκλεισμοί
Το Chrome απέκλεισε τα επηρεαζόμενα δημόσια κλειδιά μέσω του μηχανισμού CRLSet, προστατεύοντας τους χρήστες χωρίς να απαιτείται ενημέρωση ή επανεκκίνηση του προγράμματος περιήγησης. Ο Firefox ενεργοποίησε τον αποκλεισμό μέσω OneCRL την ίδια ημέρα, ενώ στη συνέχεια η eMudhra ανακάλεσε τα οκτώ πιστοποιητικά.
Η Google ανέφερε ότι δεν εμφανίζονταν στα αρχεία καταγραφής Certificate Transparency πιστοποιητικά TLS που να συνδέονται με τα έξι επηρεαζόμενα ενδιάμεσα πιστοποιητικά πριν από την ενέργεια αποκλεισμού της. Συνεπώς, δήλωσε ότι δεν θα μπορούσαν να χρησιμοποιηθούν πλαστά πιστοποιητικά από τις εν λόγω αρχές εναντίον πελατών που εφαρμόζουν αυτές τις απαιτήσεις καταγραφής, συμπεριλαμβανομένου του Chrome.
Το εύρημα αυτό δεν τεκμηριώνει αν έγινε κατάχρηση των κλειδιών σε άλλα περιβάλλοντα. Το λογισμικό εκτός προγραμμάτων περιήγησης δεν εφαρμόζει απαραίτητα τη διαφάνεια πιστοποιητικών ούτε λαμβάνει ισοδύναμες ενημερώσεις αποκλεισμού, επομένως η έκταση τυχόν προηγούμενης έκθεσης παραμένει αδιευκρίνιστη.
Η ευρύτερη αφαίρεση ριζικού πιστοποιητικού δημιουργεί προθεσμία αντικατάστασης
Η ανακοίνωση της Google για την προστασία των χρηστών Chrome και Android περιέγραφε επίσης την αφαίρεση του emSign ECC Root CA – G3 από το Chrome Root Store. Η ευρεία διάθεση αναμενόταν στις 27 Οκτωβρίου 2026, ενώ θα ήταν διαθέσιμη νωρίτερα στα κανάλια προέκδοσης.
Η ευρύτερη αυτή ενέργεια έχει σημασία, επειδή ορισμένα νόμιμα πιστοποιητικά που συνδέονται με αυτό το ριζικό πιστοποιητικό θα πάψουν επίσης να λειτουργούν στο Chrome. Η Google ανέφερε ότι οι διαχειριστές των επηρεαζόμενων ιστοτόπων πρέπει να αποκτήσουν και να εγκαταστήσουν πιστοποιητικά TLS αντικατάστασης από άλλη ιεραρχία που περιλαμβάνεται στο δικό της root store, καθώς και ότι η eMudhra είχε δεσμευτεί να βοηθήσει τους συνδρομητές στη μετάβαση.
Η Google ανέφερε επίσης ότι διερευνά αν οι υπόλοιπες αρχές πιστοποίησης της eMudhra θα πρέπει να εξακολουθήσουν να περιλαμβάνονται στο Chrome Root Store. Η αξιολόγηση βρισκόταν ακόμη σε εξέλιξη· δεν είχε ολοκληρωθεί η αφαίρεση όλων των αρχών της eMudhra.
Συμπέρασμα
Οι άμεσοι αποκλεισμοί πιστοποιητικών αντιμετώπισαν τα γνωστά αδύναμα κλειδιά, αλλά η ευρύτερη αποκατάσταση παρέμενε σε εξέλιξη. Το επόμενο προγραμματισμένο ορόσημο ήταν η διάθεση της αφαίρεσης του ριζικού πιστοποιητικού από το Chrome στις 27 Οκτωβρίου, η οποία θα μπορούσε να επηρεάσει νόμιμους ιστοτόπους που δεν είχαν αντικαταστήσει τα πιστοποιητικά τους τα οποία συνδέονταν με το πιστοποιητικό που αφαιρείται.
Διαβάστε περισσότερες ειδήσεις
Περισσότερες ειδήσεις από το FinanceVelix
Αποποίηση ευθύνης
Το παρόν άρθρο του FinanceVelix παρέχει γενικές πληροφορίες και όχι εξατομικευμένες χρηματοοικονομικές, επενδυτικές, νομικές ή φορολογικές συμβουλές. Οι τιμές της αγοράς, τα επιτόκια και οι οικονομικές συνθήκες μπορούν να μεταβληθούν· οι επενδύσεις ενέχουν κίνδυνο απώλειας. Τα στοιχεία αντικατοπτρίζουν το υλικό που ήταν διαθέσιμο κατά τη δημοσίευση και ενδέχεται να αλλάξουν. Επαληθεύετε ανεξάρτητα τις σημαντικές πληροφορίες και συμβουλευτείτε εξειδικευμένο επαγγελματία όταν χρειάζεται. Η αναφορά σε περιουσιακό στοιχείο, εταιρεία ή υπηρεσία δεν συνιστά σύσταση.
