Sertifikatfeilen hos eMudhra fikk Google, Mozilla, Apple og Microsoft til å blokkere berørte sertifikater mellom 17. og 20. oktober 2026, etter at forskere gjenopprettet private signeringsnøkler for åtte mellomliggende sertifikater. Google kunngjorde også en bredere fjerning av et rotsertifikat fra eMudhra, med utrulling på enheter som bruker Chrome Root Store forventet 27. oktober.
Viktige punkter
- Åtte mellomliggende sertifikater hadde private nøkler som enkelt kunne gjenopprettes: seks for nettstedsikkerhet og to for kodesignering.
- Ingen TLS-sertifikater som kjedet seg til de seks berørte mellomliggende sertifikatene, var offentlig loggført før Chromes blokkering; eksponering utenfor håndheving av sertifikattransparens er fortsatt usikker.
- Chromes planlagte fjerning av rotsertifikatet kan også forstyrre gyldige sertifikater, noe som gjør at berørte nettstedsoperatører må erstatte dem.
Innholdsfortegnelse
- Hvordan sertifikatfeilen hos eMudhra svekket tilliten
- Hva nødblokkeringene fastslo – og ikke fastslo
- Bredere fjerning av rotsertifikatet gir en frist for utskifting
- Konklusjon
Hvordan sertifikatfeilen hos eMudhra svekket tilliten
Nøklene til den berørte sertifiseringsinstansen, som er basert i India, ble generert 30. april 2025. Mozilla-ingeniøren Dennis Jackson sa at alle åtte brukte heltall mindre enn 256, slik at de kunne gjenopprettes nesten umiddelbart, i stedet for å ha den tilfeldigheten som forventes av sikre kryptografiske nøkler.
Mozilla gjenopprettet nøklene uavhengig 17. oktober og bekreftet dermed forskerens funn. Den som hadde tilgang til de berørte TLS-signeringsnøklene, kunne forfalske sertifikater som utga seg for å tilhøre nettsteder overfor klienter som fortsatt stolte på disse sertifiseringsinstansene.
I sin redegjørelse for grunnårsaken tilskrev eMudhra problemet et nøkkelgenereringsskript som produserte et ekstra, svakere nøkkelpar med en lignende etikett. Dette nøkkelparet ble ved en feil brukt til forespørselen om sertifikatsignering, som følge av menneskelige feil på flere stadier av prosessen.
| Element | Detaljer |
|---|---|
| Chrome | Blokkerte de berørte offentlige nøklene 17. oktober 2026. |
| Firefox | Fullførte blokkeringen i OneCRL kl. 22:59 UTC den 17. oktober. |
| eMudhra | Merket de åtte berørte sertifikatene som tilbakekalt 18. oktober. |
| Apple | Gjennomførte blokkeringen 19. oktober. |
| Microsoft | Gjennomførte blokkeringen 20. oktober. |
Hva nødblokkeringene fastslo – og ikke fastslo
Chrome blokkerte de berørte offentlige nøklene gjennom CRLSet-mekanismen, slik at brukerne ble beskyttet uten å måtte oppdatere eller starte nettleseren på nytt. Firefox distribuerte blokkeringen i OneCRL samme dag, mens eMudhra senere tilbakekalte de åtte sertifikatene.
Google opplyste at ingen TLS-sertifikater som kjedet seg til de seks berørte mellomliggende sertifikatene, var synlige i Certificate Transparency-loggene før blokkeringen ble innført. Selskapet sa derfor at falske sertifikater fra disse sertifiseringsinstansene ikke kunne ha blitt brukt mot klienter som håndhever disse loggingskravene, inkludert Chrome.
Dette funnet fastslår ikke om nøklene ble misbrukt andre steder. Programvare som ikke er nettlesere, håndhever ikke nødvendigvis sertifikattransparens eller mottar tilsvarende blokkeringsoppdateringer, og omfanget av eventuell tidligere eksponering er derfor fortsatt uavklart.
Bredere fjerning av rotsertifikatet gir en frist for utskifting
Googles kunngjøring om beskyttelse av Chrome- og Android-brukere beskrev også fjerningen av emSign ECC Root CA – G3 fra Chrome Root Store. En bred utrulling var forventet 27. oktober 2026, med tidligere tilgjengelighet i forhåndsversjonskanaler.
Dette bredere tiltaket er viktig fordi enkelte gyldige sertifikater som kjeder seg til dette rotsertifikatet, også vil slutte å fungere i Chrome. Google sa at berørte nettstedsoperatører må skaffe og installere nye TLS-sertifikater fra et annet hierarki som inngår i selskapets rotsertifikatlager, og at eMudhra hadde forpliktet seg til å hjelpe abonnentene med overgangen.
Google sa også at selskapet undersøkte om eMudhras øvrige sertifiseringsinstanser fortsatt burde være inkludert i Chrome Root Store. Gjennomgangen pågikk fortsatt; det var ikke en fullført fjerning av alle eMudhras sertifiseringsinstanser.
Konklusjon
De umiddelbare sertifikatblokkeringene håndterte de kjente svake nøklene, men et bredere utbedringsarbeid pågikk fortsatt. Neste planlagte milepæl var Chromes utrulling av fjerningen av rotsertifikatet 27. oktober, som kunne påvirke gyldige nettsteder som ikke hadde erstattet sertifikater knyttet til rotsertifikatet som skulle fjernes.
Les flere nyheter
Flere nyheter fra FinanceVelix
Ansvarsfraskrivelse
Denne artikkelen fra FinanceVelix gir generell informasjon, ikke personlig tilpasset finansiell, investeringsmessig, juridisk eller skattemessig rådgivning. Markedspriser, renter og økonomiske forhold kan endre seg; investeringer innebærer risiko for tap. Fakta gjenspeiler informasjonen som var tilgjengelig da artikkelen ble publisert, og kan endres. Kontroller viktig informasjon på egen hånd, og rådfør deg med en kvalifisert fagperson ved behov. Omtale av en eiendel, et selskap eller en tjeneste er ikke en anbefaling.
