De eMudhra-certificaatfout leidde ertoe dat Google, Mozilla, Apple en Microsoft de getroffen certificaten tussen 17 en 20 oktober 2026 blokkeerden, nadat onderzoekers de privésleutels van acht tussenliggende certificaten hadden achterhaald. Google kondigde ook een bredere verwijdering aan van een eMudhra-rootcertificaat, die naar verwachting op 27 oktober wordt uitgerold naar apparaten die gebruikmaken van de Chrome Root Store.
Belangrijkste punten
- Van acht tussenliggende certificaten waren de privésleutels eenvoudig te achterhalen: zes voor websitebeveiliging en twee voor codeondertekening.
- Vóór de blokkade door Chrome waren er geen TLS-certificaten die terug te voeren waren op de zes getroffen tussenliggende certificaten openbaar geregistreerd; de blootstelling buiten de handhaving van Certificate Transparency blijft onzeker.
- De geplande verwijdering van het rootcertificaat door Chrome kan ook legitieme certificaten verstoren, waardoor getroffen websitebeheerders deze moeten vervangen.
Inhoudsopgave
- Hoe de eMudhra-certificaatfout het vertrouwen ondermijnde
- Wat de noodblokkades wel en niet vaststelden
- Bredere verwijdering van het rootcertificaat leidt tot een vervangingstermijn
- Conclusie
Hoe de eMudhra-certificaatfout het vertrouwen ondermijnde
De getroffen sleutels van de in India gevestigde certificaatautoriteit werden gegenereerd op 30 april 2025. Mozilla-ingenieur Dennis Jackson zei dat alle acht gehele getallen kleiner dan 256 gebruikten, waardoor ze vrijwel onmiddellijk konden worden achterhaald, in plaats van de willekeurigheid te bieden die van veilige cryptografische sleutels wordt verwacht.
Mozilla achterhaalde de sleutels onafhankelijk op 17 oktober en bevestigde daarmee de bevindingen van de onderzoeker. Wie de getroffen TLS-ondertekeningssleutels in handen had, kon certificaten vervalsen waarmee websites konden worden geïmiteerd bij clients die deze autoriteiten nog vertrouwden.
In zijn verslag van de hoofdoorzaak schreef eMudhra het probleem toe aan een sleutelgeneratiescript dat een tweede, zwakker sleutelpaar met een vergelijkbaar label had geproduceerd. Dat paar werd per ongeluk gebruikt voor het certificaatondertekeningsverzoek, als gevolg van menselijke fouten in meerdere fasen van het proces.
| Onderdeel | Details |
|---|---|
| Chrome | Blokkeerde de getroffen openbare sleutels op 17 oktober 2026. |
| Firefox | Voltooide de blokkade via OneCRL om 22:59 UTC op 17 oktober. |
| eMudhra | Markeerde de acht getroffen certificaten op 18 oktober als ingetrokken. |
| Apple | Voerde de blokkade op 19 oktober in. |
| Microsoft | Voerde de blokkade op 20 oktober in. |
Wat de noodblokkades wel en niet vaststelden
Chrome blokkeerde de getroffen openbare sleutels via het CRLSet-mechanisme, waardoor gebruikers werden beschermd zonder dat een browserupdate of herstart nodig was. Firefox voerde diezelfde dag de blokkade via OneCRL door, waarna eMudhra de acht certificaten introk.
Google zei dat er vóór de blokkeringsmaatregel geen TLS-certificaten in de Certificate Transparency-logboeken stonden die terug te voeren waren op de zes getroffen tussenliggende certificaten. Daarom konden frauduleuze certificaten van die autoriteiten volgens Google niet worden gebruikt tegen clients die deze logvereisten handhaafden, waaronder Chrome.
Deze bevinding stelt niet vast of de sleutels elders zijn misbruikt. Software buiten browsers dwingt Certificate Transparency niet noodzakelijkerwijs af en ontvangt niet altijd vergelijkbare blokkeringsupdates, waardoor de omvang van eventuele eerdere blootstelling onduidelijk blijft.
Bredere verwijdering van het rootcertificaat leidt tot een vervangingstermijn
Googles aankondiging over de bescherming van Chrome- en Android-gebruikers beschreef ook de verwijdering van emSign ECC Root CA – G3 uit de Chrome Root Store. De brede uitrol werd verwacht op 27 oktober 2026, met eerdere beschikbaarheid via prereleasekanalen.
Deze bredere maatregel is van belang omdat sommige legitieme certificaten die terug te voeren zijn op dat rootcertificaat ook niet meer zullen werken in Chrome. Google zei dat getroffen websitebeheerders vervangende TLS-certificaten moeten verkrijgen en installeren uit een andere hiërarchie die in de rootstore is opgenomen, en dat eMudhra had toegezegd abonnees te helpen bij de overstap.
Google zei ook te onderzoeken of de overige certificaatautoriteiten van eMudhra opgenomen moeten blijven in de Chrome Root Store. Die beoordeling liep nog; het ging niet om een voltooide verwijdering van alle eMudhra-autoriteiten.
Conclusie
De directe certificaatblokkades pakten de bekende zwakke sleutels aan, maar de bredere herstelmaatregelen waren nog gaande. De volgende geplande mijlpaal was de uitrol van Chrome waarbij het rootcertificaat op 27 oktober wordt verwijderd. Dit kan gevolgen hebben voor legitieme websites die certificaten gekoppeld aan het verwijderde rootcertificaat nog niet hadden vervangen.
Lees meer nieuws
Disclaimer
Dit artikel van FinanceVelix bevat algemene informatie en geen persoonlijk financieel, beleggings-, juridisch of fiscaal advies. Marktprijzen, rentetarieven en economische omstandigheden kunnen veranderen; aan beleggen zijn risico’s verbonden. De feiten zijn gebaseerd op het beschikbare materiaal op het moment van publicatie en kunnen veranderen. Controleer belangrijke informatie zelfstandig en raadpleeg indien nodig een gekwalificeerde professional. Een vermelding van een activum, bedrijf of dienst houdt geen aanbeveling in.
