La falla del certificato eMudhra ha indotto Google, Mozilla, Apple e Microsoft a bloccare i certificati interessati tra il 17 e il 20 ottobre 2026, dopo che i ricercatori avevano recuperato le chiavi private di firma di otto certificati intermedi. Google ha inoltre annunciato una più ampia rimozione di un certificato root eMudhra, il cui rilascio sui dispositivi che si affidano al Chrome Root Store è previsto per il 27 ottobre.
Punti chiave
- Otto certificati intermedi avevano chiavi private facilmente recuperabili: sei per la sicurezza dei siti web e due per la firma del codice.
- Nessun certificato TLS collegato ai sei intermedi interessati era stato registrato pubblicamente prima del blocco di Chrome; l’esposizione al di fuori dell’applicazione dei requisiti di Certificate Transparency resta incerta.
- La rimozione della root pianificata da Chrome potrebbe interrompere anche il funzionamento di certificati legittimi, rendendo necessaria la loro sostituzione da parte degli operatori dei siti interessati.
Indice
- Come la falla del certificato eMudhra ha compromesso la fiducia
- Cosa hanno accertato, e cosa no, i blocchi di emergenza
- La rimozione più ampia della root fissa una scadenza per la sostituzione
- Conclusione
Come la falla del certificato eMudhra ha compromesso la fiducia
Le chiavi interessate dell’autorità di certificazione con sede in India erano state generate il 30 aprile 2025. L’ingegnere di Mozilla Dennis Jackson ha dichiarato che tutte e otto utilizzavano interi inferiori a 256, il che le rendeva recuperabili quasi istantaneamente, anziché offrire il livello di casualità previsto per chiavi crittografiche sicure.
Mozilla ha recuperato le chiavi in modo indipendente il 17 ottobre, confermando i risultati del ricercatore. Il possesso delle chiavi di firma TLS interessate avrebbe potuto consentire a un aggressore di falsificare certificati per impersonare siti web nei confronti dei client che continuavano a fidarsi di quelle autorità.
Nella ricostruzione delle cause, eMudhra ha attribuito il problema a uno script di generazione delle chiavi che aveva prodotto una seconda coppia di chiavi più debole, contrassegnata con un’etichetta simile. Tale coppia è stata usata per errore per la richiesta di firma del certificato, a causa di errori umani in più fasi del processo.
| Voce | Dettagli |
|---|---|
| Chrome | Ha bloccato le chiavi pubbliche interessate il 17 ottobre 2026. |
| Firefox | Ha completato il blocco tramite OneCRL alle 22:59 UTC del 17 ottobre. |
| eMudhra | Ha revocato gli otto certificati interessati il 18 ottobre. |
| Apple | Ha attuato il blocco il 19 ottobre. |
| Microsoft | Ha attuato il blocco il 20 ottobre. |
Cosa hanno accertato, e cosa no, i blocchi di emergenza
Chrome ha bloccato le chiavi pubbliche interessate tramite il meccanismo CRLSet, proteggendo gli utenti senza richiedere un aggiornamento o il riavvio del browser. Firefox ha attivato il blocco OneCRL lo stesso giorno, mentre eMudhra ha successivamente revocato gli otto certificati.
Google ha dichiarato che nei log di Certificate Transparency non compariva alcun certificato TLS collegato ai sei intermedi interessati prima dell’attivazione del blocco. Ha quindi affermato che i certificati fraudolenti emessi da quelle autorità non avrebbero potuto essere utilizzati contro client che applicano tali requisiti di registrazione, compreso Chrome.
Questo risultato non chiarisce se le chiavi siano state sfruttate altrove. I software diversi dai browser non applicano necessariamente Certificate Transparency né ricevono aggiornamenti di blocco equivalenti, perciò l’entità di un’eventuale esposizione precedente resta da determinare.
La rimozione più ampia della root fissa una scadenza per la sostituzione
L’annuncio di Google sulle misure di protezione per Chrome e Android descriveva anche la rimozione di emSign ECC Root CA – G3 dal Chrome Root Store. Il rilascio su ampia scala era previsto per il 27 ottobre 2026, con disponibilità anticipata nei canali di pre-release.
Questa misura più ampia è rilevante perché anche alcuni certificati legittimi collegati a quella root smetteranno di funzionare in Chrome. Google ha dichiarato che gli operatori dei siti web interessati dovranno ottenere e installare certificati TLS sostitutivi da un’altra gerarchia inclusa nel suo root store e che eMudhra si è impegnata ad aiutare gli abbonati nella migrazione.
Google ha inoltre dichiarato di stare valutando se le restanti autorità di certificazione di eMudhra debbano continuare a essere incluse nel Chrome Root Store. La revisione era ancora in corso: non si trattava della rimozione completata di tutte le autorità eMudhra.
Conclusione
I blocchi immediati dei certificati hanno affrontato il problema delle chiavi deboli note, ma le misure correttive più ampie erano ancora in corso. La prossima tappa prevista era l’attuazione della rimozione della root da parte di Chrome il 27 ottobre, che avrebbe potuto interessare i siti legittimi che non avevano sostituito i certificati collegati alla root rimossa.
Leggi altre notizie
Esclusione di responsabilità
Questo articolo di FinanceVelix fornisce informazioni generali e non costituisce una consulenza finanziaria, d’investimento, legale o fiscale personalizzata. I prezzi di mercato, i tassi d’interesse e le condizioni economiche possono cambiare; gli investimenti comportano un rischio di perdita. I fatti rispecchiano le informazioni disponibili al momento della pubblicazione e possono cambiare. Verificate autonomamente le informazioni importanti e, se necessario, consultate un professionista qualificato. La menzione di un’attività, di una società o di un servizio non costituisce un’approvazione.
