Az eMudhra tanúsítványhibája arra késztette a Google-t, a Mozilla-t, az Apple-t és a Microsoftot, hogy 2026. október 17. és 20. között letiltsák az érintett tanúsítványokat, miután kutatók nyolc köztes tanúsítvány privát aláírókulcsait állították helyre. A Google emellett bejelentette egy eMudhra-gyökértanúsítvány szélesebb körű eltávolítását is; a Chrome Root Store-ra támaszkodó eszközökön történő bevezetést október 27-re várták.
Legfontosabb tudnivalók
- Nyolc köztes tanúsítványhoz tartozott könnyen visszafejthető privát kulcs: hat webhelybiztonsági, kettő pedig kódaláírási célra.
- A Chrome blokkolása előtt egyetlen, a hat érintett köztes tanúsítványra épülő TLS-tanúsítványt sem tettek közzé nyilvánosan; a tanúsítvány-átláthatósági előírások érvényesítésén kívüli kitettség mértéke továbbra sem tisztázott.
- A Chrome tervezett gyökértanúsítvány-eltávolítása a jogszerű tanúsítványok működését is megzavarhatja, ezért az érintett webhelyek üzemeltetőinek le kell cserélniük azokat.
Tartalomjegyzék
- Hogyan ásta alá a bizalmat az eMudhra tanúsítványhibája
- Mit állapítottak meg a sürgősségi blokkolások – és mit nem
- A szélesebb körű gyökértanúsítvány-eltávolítás cserehatáridőt teremt
- Következtetés
Hogyan ásta alá a bizalmat az eMudhra tanúsítványhibája
Az indiai székhelyű tanúsítványkiadó érintett kulcsait 2025. április 30-án generálták. Dennis Jackson, a Mozilla mérnöke elmondta, hogy mind a nyolc kulcs 256-nál kisebb egész számokat használt, ezért szinte azonnal vissza lehetett fejteni őket, ahelyett hogy a biztonságos kriptográfiai kulcsoktól elvárt véletlenszerűséget biztosították volna.
A Mozilla október 17-én önállóan is visszafejtette a kulcsokat, megerősítve a kutató megállapításait. Az érintett TLS-aláírókulcsok birtokában a támadó olyan tanúsítványokat hamisíthatott, amelyek webhelyeknek adják ki magukat az ezekben a tanúsítványkiadókban még megbízó kliensek számára.
Az okok feltárásáról szóló beszámolójában az eMudhra a problémát egy olyan kulcsgeneráló szkriptnek tulajdonította, amely egy hasonló címkéjű, második, gyengébb kulcspárt hozott létre. Ezt a párt tévedésből használták fel a tanúsítvány-aláírási kérelemhez; a folyamat több szakaszában emberi hibák történtek.
| Tétel | Részletek |
|---|---|
| Chrome | 2026. október 17-én letiltotta az érintett nyilvános kulcsokat. |
| Firefox | Október 17-én 22:59 UTC-kor fejezte be a blokkolást az OneCRL rendszerben. |
| eMudhra | Október 18-án visszavontnak jelölte a nyolc érintett tanúsítványt. |
| Apple | Október 19-én vezette be a blokkolást. |
| Microsoft | Október 20-án vezette be a blokkolást. |
Mit állapítottak meg a sürgősségi blokkolások – és mit nem
A Chrome a CRLSet mechanizmusán keresztül blokkolta az érintett nyilvános kulcsokat, így a felhasználók védelméhez nem volt szükség böngészőfrissítésre vagy újraindításra. A Firefox még aznap telepítette az OneCRL-blokkolást, az eMudhra pedig ezt követően visszavonta a nyolc tanúsítványt.
A Google közlése szerint a blokkolás előtt nem szerepelt a tanúsítvány-átláthatósági naplókban egyetlen, a hat érintett köztes tanúsítványra épülő TLS-tanúsítvány sem. Ezért azt mondta, hogy az adott tanúsítványkiadóktól származó hamis tanúsítványokat nem lehetett felhasználni az ilyen naplózási követelményeket érvényesítő kliensek – köztük a Chrome – ellen.
Ez a megállapítás nem tisztázza, hogy a kulcsokkal visszaéltek-e máshol. A nem böngészőként működő szoftverek nem feltétlenül érvényesítik a tanúsítvány-átláthatósági követelményeket, és nem feltétlenül kapnak hasonló blokkolási frissítéseket sem, így a korábbi kitettség mértéke továbbra sem tisztázott.
A szélesebb körű gyökértanúsítvány-eltávolítás cserehatáridőt teremt
A Google Chrome- és Android-védelmi bejelentése az emSign ECC Root CA – G3 Chrome Root Store-ból való eltávolítását is ismertette. A széles körű bevezetést 2026. október 27-re várták; az előzetes kiadási csatornákon korábban is elérhetővé válhatott.
Ez a szélesebb körű intézkedés azért fontos, mert a gyökértanúsítványra épülő egyes jogszerű tanúsítványok is működésképtelenné válnak a Chrome-ban. A Google közölte, hogy az érintett webhelyek üzemeltetőinek a gyökértanúsítvány-tárában szereplő másik hierarchiából kell új TLS-tanúsítványokat beszerezniük és telepíteniük, az eMudhra pedig vállalta, hogy segíti előfizetőit az átállásban.
A Google azt is közölte, hogy vizsgálja, az eMudhra többi tanúsítványkiadójának továbbra is szerepelnie kell-e a Chrome Root Store-ban. A felülvizsgálat még folyamatban volt; nem történt meg az összes eMudhra-tanúsítványkiadó eltávolítása.
Következtetés
Az azonnali tanúsítványblokkolások kezelték az ismert gyenge kulcsokat, de a szélesebb körű helyreállítás még folyamatban volt. A következő ütemezett mérföldkő a Chrome október 27-i gyökértanúsítvány-eltávolítási bevezetése volt, amely azokat a jogszerű webhelyeket is érinthette, amelyek addig nem cserélték le az eltávolítandó gyökértanúsítványhoz kapcsolódó tanúsítványaikat.
További hírek
Jogi nyilatkozat
Ez a FinanceVelix-cikk általános tájékoztatást nyújt, nem minősül személyre szabott pénzügyi, befektetési, jogi vagy adótanácsadásnak. A piaci árak, a kamatlábak és a gazdasági körülmények változhatnak; a befektetések veszteség kockázatával járnak. A tények a közzétételkor rendelkezésre álló információkat tükrözik, és változhatnak. A fontos információkat ellenőrizze önállóan, és szükség esetén forduljon képzett szakemberhez. Egy eszköz, vállalat vagy szolgáltatás említése nem jelent ajánlást.
