eMudhran varmennevirhe sai Googlen, Mozillan, Applen ja Microsoftin estämään vaikutuksen kohteena olevat varmenteet 17.–20. lokakuuta 2026 sen jälkeen, kun tutkijat olivat palauttaneet kahdeksan välivarmenteen yksityiset allekirjoitusavaimet. Google ilmoitti myös eMudhran juurivarmenteen laajemmasta poistamisesta. Poiston odotettiin tulevan käyttöön 27. lokakuuta laitteissa, jotka käyttävät Chrome Root Storea.
Keskeiset huomiot
- Kahdeksan välivarmenteen yksityiset avaimet olivat helposti palautettavissa: kuusi liittyi verkkosivustojen suojaukseen ja kaksi koodin allekirjoittamiseen.
- Kuuteen vaikutuksen kohteena olevaan välivarmenteeseen ketjuuntuvia TLS-varmenteita ei ollut kirjattu julkisesti ennen Chromen estotoimea; altistuminen varmenteiden läpinäkyvyyden valvonnan ulkopuolella on edelleen epävarmaa.
- Chromen suunniteltu juurivarmenteen poisto voi häiritä myös aitojen varmenteiden toimintaa, jolloin vaikutuksen kohteena olevien verkkosivustojen ylläpitäjien on vaihdettava ne.
Sisällysluettelo
- Miten eMudhran varmennevirhe vaaransi luottamuksen
- Mitä hätäestot osoittivat – ja mitä eivät
- Juurivarmenteen laajempi poisto luo määräajan varmenteiden vaihtamiselle
- Yhteenveto
Miten eMudhran varmennevirhe vaaransi luottamuksen
Intiassa toimivan varmentajan vaikutuksen kohteena olevat avaimet luotiin 30. huhtikuuta 2025. Mozilla-insinööri Dennis Jacksonin mukaan kaikissa kahdeksassa käytettiin alle 256:n kokonaislukuja, minkä vuoksi avaimet voitiin palauttaa lähes välittömästi sen sijaan, että ne olisivat tarjonneet suojattujen salausavainten edellyttämää satunnaisuutta.
Mozilla palautti avaimet itsenäisesti 17. lokakuuta ja vahvisti näin tutkijan havainnot. Vaikutuksen kohteena olevien TLS-allekirjoitusavainten hallussapito olisi voinut mahdollistaa hyökkääjälle väärennettyjen varmenteiden luomisen, joiden avulla olisi voitu esiintyä verkkosivustoina niiden asiakkaiden silmissä, jotka yhä luottivat kyseisiin varmentajiin.
eMudhra kertoi juurisyyanalyysissaan ongelman johtuneen avainten luontiskriptistä, joka tuotti toisen, heikomman avainparin samankaltaisella tunnisteella. Tätä paria käytettiin erehdyksessä varmenteen allekirjoituspyynnössä, ja prosessin useissa vaiheissa tapahtui inhimillisiä virheitä.
| Kohde | Tiedot |
|---|---|
| Chrome | Esti vaikutuksen kohteena olevat julkiset avaimet 17. lokakuuta 2026. |
| Firefox | Sai OneCRL-eston valmiiksi 17. lokakuuta klo 22.59 UTC. |
| eMudhra | Merkitsi kahdeksan vaikutuksen kohteena olevaa varmennetta peruutetuiksi 18. lokakuuta. |
| Apple | Toteutti eston 19. lokakuuta. |
| Microsoft | Toteutti eston 20. lokakuuta. |
Mitä hätäestot osoittivat – ja mitä eivät
Chrome esti vaikutuksen kohteena olevat julkiset avaimet CRLSet-mekanismillaan, joten käyttäjien suojaaminen ei edellyttänyt selaimen päivittämistä tai uudelleenkäynnistämistä. Firefox otti OneCRL-eston käyttöön samana päivänä, ja eMudhra peruutti myöhemmin kahdeksan varmennetta.
Google kertoi, ettei kuuteen vaikutuksen kohteena olevaan välivarmenteeseen ketjuuntuvia TLS-varmenteita ollut Certificate Transparency -lokeissa ennen sen estotoimea. Sen mukaan kyseisten varmentajien vilpillisiä varmenteita ei siten olisi voitu käyttää sellaisia asiakkaita vastaan, jotka valvovat näiden lokitusvaatimusten noudattamista, mukaan lukien Chrome.
Tämä havainto ei osoita, käytettiinkö avaimia väärin muualla. Muut kuin selainohjelmistot eivät välttämättä valvo varmenteiden läpinäkyvyyttä tai vastaanota vastaavia estopäivityksiä, joten mahdollisen aiemman altistumisen laajuus on edelleen selvittämättä.
Juurivarmenteen laajempi poisto luo määräajan varmenteiden vaihtamiselle
Googlen Chromea ja Androidia koskevassa suojausilmoituksessa kerrottiin myös emSign ECC Root CA – G3 -varmenteen poistamisesta Chrome Root Storesta. Laajemman käyttöönoton odotettiin tapahtuvan 27. lokakuuta 2026, ja se tulisi aiemmin saataville ennakkoversiokanavilla.
Laajempi toimenpide on merkityksellinen, koska myös joidenkin tähän juurivarmenteeseen ketjuuntuvien aitojen varmenteiden toiminta lakkaa Chromessa. Google kertoi, että vaikutuksen kohteena olevien verkkosivustojen ylläpitäjien on hankittava ja asennettava uudet TLS-varmenteet toisesta Chrome Root Storeen kuuluvasta varmennushierarkiasta. eMudhra oli sitoutunut auttamaan tilaajia siirtymässä.
Google kertoi myös tutkivansa, pitäisikö eMudhran muiden varmentajien edelleen kuulua Chrome Root Storeen. Arviointi oli yhä käynnissä, eikä kaikkia eMudhran varmentajia ollut poistettu.
Yhteenveto
Välittömillä varmennelakoilla puututtiin tunnettuihin heikkoihin avaimiin, mutta laajemmat korjaustoimet olivat edelleen käynnissä. Seuraavaksi oli määrä toteuttaa Chromen juurivarmenteen poisto 27. lokakuuta. Se voisi vaikuttaa aitoihin sivustoihin, jotka eivät olleet vaihtaneet poistettavaan juurivarmenteeseen liittyviä varmenteitaan.
Lue lisää uutisia
Vastuuvapauslauseke
Tämä FinanceVelix-artikkeli tarjoaa yleistä tietoa, ei henkilökohtaista talous-, sijoitus-, oikeudellista tai veroneuvontaa. Markkinahinnat, korot ja taloudelliset olosuhteet voivat muuttua; sijoittamiseen liittyy tappion riski. Tiedot perustuvat julkaisuhetkellä saatavilla olleeseen aineistoon ja voivat muuttua. Tarkista tärkeät tiedot itsenäisesti ja kysy tarvittaessa neuvoa pätevältä ammattilaiselta. Omaisuuserän, yrityksen tai palvelun mainitseminen ei ole suositus.
