eMudhra-sertifikaattivirhe sai Googlen, Mozillan, Applen ja Microsoftin estämään vaikuttaneet sertifikaatit 17.–20. lokakuuta 2026 sen jälkeen, kun tutkijat olivat palauttaneet yksityisiä allekirjoitusavaimia kahdeksalle välivarmenteelle. Google ilmoitti myös laajemmasta eMudhra-juurisertifikaatin poistamisesta, ja Chrome Root Storeen perustuvien laitteiden julkaisun odotetaan tapahtuvan 27. lokakuuta.
Keskeiset huomiot
- Kahdeksalla välivarmenteella oli helposti palautettavat yksityiset avaimet: kuusi verkkosivuston turvallisuuteen ja kaksi koodin allekirjoitukseen.
- Yhtään TLS-sertifikaattia, joka ketjuttaisi kuuteen välikäteen, ei ollut julkisesti kirjattu ennen Chromen estettä; näkyvyys sertifikaattien läpinäkyvyyden valvonnan ulkopuolella on edelleen epävarmaa.
- Chromen suunniteltu juurien poisto voisi myös häiritä laillisia sertifikaatteja, jolloin kyseiset verkkosivustojen ylläpitäjät vaihtaisivat ne.
Sisällysluettelo
- Miten eMudhra-sertifikaattivirhe heikensi luottamusta
- Mitä hätätilablokit tekivät – ja mitä eivät todenneet
- Laajempi juurten poisto luo korvaavan määräajan
- Yhteenveto
Miten eMudhra-sertifikaattivirhe heikensi luottamusta
Intiassa toimivan sertifikaattiviranomaisen vaikutuksen alaiset avaimet luotiin 30. huhtikuuta 2025. Mozillan insinööri Dennis Jackson kertoi, että kaikki kahdeksan käyttivät kokonaislukuja, jotka olivat pienempiä kuin 256, mikä tekee niistä lähes välittömästi palautettavia sen sijaan, että ne tarjoaisivat turvallisilta salausavaimilta odotettua satunnaisuutta.
Mozilla sai avaimet itsenäisesti takaisin 17. lokakuuta, vahvistaen tutkijan havainnot. Vaikutusvaltaisten TLS-allekirjoitusavainten hallussapito voisi antaa hyökkääjälle mahdollisuuden väärentää varmenteita, jotka esiintyvät verkkosivuina asiakkaille, jotka yhä luottivat näihin viranomaisiin.
Juurisyy-tilillään eMudhra selitti ongelman avaingeneraattoriskriptillä, joka tuotti toisen, heikomman avainparin samankaltaisella tunnisteella. Tätä paria käytettiin virheellisesti varmenteen allekirjoituspyyntöön, ja inhimillisiä virheitä esiintyi useissa prosessin vaiheissa.
| Kohde | Yksityiskohdat |
|---|---|
| Chrome | Estetty vaikutetut julkiset avaimet 17. lokakuuta 2026. |
| Firefox | OneCRL-eston saatu päätökseen klo 22:59 UTC 17. lokakuuta. |
| eMudhra | Merkittiin kahdeksan asianomaista todistusta, jotka peruutettiin 18. lokakuuta. |
| Omena | Toteutti estonsa 19. lokakuuta. |
| Microsoft | Toteutti eston 20. lokakuuta. |
Mitä hätätilablokit tekivät – ja mitä eivät todenneet
Chrome esti vaikutusalueen julkiset avaimet CRLSet-mekanismillaan, suojaten käyttäjiä ilman selainpäivitystä tai uudelleenkäynnistystä. Firefox otti OneCRL-lohkonsa käyttöön samana päivänä, kun taas eMudhra peruutti myöhemmin kahdeksan sertifikaattia.
Google kertoi, ettei TLS-sertifikaatteja, jotka ketjuttaisivat kuuteen vaikuttuneeseen välikäteen, ei näkynyt Certificate Transparency -lokeissa ennen estotoimiaan. Siksi se totesi, että näiden viranomaisten petollisia varmenteita ei voitu käyttää asiakkaita vastaan, jotka valvovat näitä lokivaatimuksia, mukaan lukien Chrome.
Tämä havainto ei kuitenkaan selitä, onko avaimia väärinkäytetty muualla. Ei-selainohjelmistot eivät välttämättä valvo sertifikaattien läpinäkyvyyttä tai saa vastaavia estopäivityksiä, joten aiemman altistuksen laajuus jää ratkaisematta.
Laajempi juurten poisto luo korvaavan määräajan
Googlen Chrome- ja Android-suojaustiedotteessa kuvattiin myös emSign ECC Root CA – G3:n poistamista Chrome Root Storesta. Laaja julkaisu oli odotettavissa 27. lokakuuta 2026, ja aiemmin saatavilla esijulkaisukanavilla.
Tämä laajempi toimenpide on tärkeä, koska jotkut lailliset sertifikaatit, jotka ketjuttavat juureen, lakkaavat myös toimimasta Chromessa. Google sanoi, että asianomaisten verkkosivustojen ylläpitäjien on hankittava ja asennettava korvaavia TLS-sertifikaatteja toisesta hierarkiasta, joka sisältyy juurivarastoon, ja että eMudhra on sitoutunut auttamaan tilaajia siirtymisessä.
Google kertoi myös tutkivansa, tulisiko eMudhran jäljellä olevien sertifikaattivaltuuksien jatkaa sisällyttämistä Chrome Root Storeen. Tämä tarkastus oli käynnissä, ei kaikkien eMudhra-valtuuksien täydellinen poistaminen.
Yhteenveto
Välittömät varmennelohkot korjasivat tunnetut heikot avaimet, mutta laajempi korjaus jatkui. Seuraava suunniteltu virstanpylväs oli Chromen juurien poisto 27. lokakuuta, mikä saattoi vaikuttaa laillisiin sivustoihin, jotka eivät olleet korvanneet poistettuun rootiin sidottuja varmenteita.
Lue lisää uutisia
Vastuuvapauslauseke
Tämä FinanceVelix artikkeli tarjoaa yleistä tietoa, ei henkilökohtaista taloudellista, sijoitus-, oikeudellista tai veroneuvontaa. Markkinahinnat, korot ja taloudelliset olosuhteet voivat muuttua; sijoituksiin liittyy tappioriski. Faktat heijastavat saatavilla olevaa materiaalia julkaisun yhteydessä ja voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja konsultoi tarvittaessa pätevää ammattilaista. Omaisuuden, yrityksen tai palvelun mainitseminen ei ole hyväksyntää.
