Åtte kompromitterte signeringsnøkler hos den indiske sertifikatutstederen eMudhra har avdekket et gap mellom nettleserbeskyttelsen og programvaren som kjører bak nettsteder og handelsverktøy. Per 21. oktober hadde de største nettleserprodusentene blokkert de berørte sertifikatene, men enkelte programmer utenfor nettlesere kunne fortsatt godta forfalskede påloggingsopplysninger fordi de ikke sjekker om sertifikater er tilbakekalt.
Viktigste punkter
- Forskere gjenopprettet åtte svake private nøkler som kunne brukes til å signere sertifikater som utga seg for å tilhøre pålitelige nettsteder.
- Nettleserprodusentene blokkerte de berørte sertifikatene, men tilbakekalling alene beskytter ikke programvare som aldri kontrollerer dette.
- Det var ikke rapportert om kryptorelaterte angrep; bekymringen gjelder utdatert programvare på det bredere internett.
Innholdsfortegnelse
- Hvor eMudhra-nøkkelbruddet etterlater sårbarheter
- Hvilken beskyttelse hadde nådd brukerne?
- Hvordan svake nøkler undergravde verifisering av nettsteder
- Hvorfor handelsprogramvare krever særskilt oppmerksomhet
- Konklusjon
Hvor eMudhra-nøkkelbruddet etterlater sårbarheter
Det viktige skillet går mellom å tilbakekalle et sertifikat og å sørge for at programvaren nekter å stole på det. eMudhra tilbakekalte de berørte sertifikatene, men sikkerhetsforsker Scott Helme advarte om at dette ikke gir noen beskyttelse for programmer som ikke kontrollerer tilbakekallingsstatusen.
Helme sa at testene hans viste at curl, Python, Node, Go og Java godtok et forfalsket sertifikat for Stripes API. Dette var en demonstrasjon av at sertifikatet ble godtatt, ikke bevis på at Stripe var blitt kompromittert.
Et falskt sertifikat kan gjøre det mulig for en avlytter på nettverket å utgi seg for å være en pålitelig tjeneste og lese eller endre trafikk. Blokkering i nettlesere håndterer denne angrepsveien for beskyttede nettlesere, men innebærer ikke at alle separate applikasjoner eller bakendesystemer har fått tilsvarende beskyttelse.
| Element | Detaljer |
|---|---|
| Mozilla og Chrome | Begge blokkerte de berørte sertifikatene 17. oktober; Mozilla innførte blokkeringen omtrent tre timer etter at saken ble rapportert. |
| Apple | Kom med sitt svar 19. oktober. |
| Microsoft | Fulgt opp 20. oktober. |
| Sertifikattilbakekalling | eMudhra tilbakekalte de berørte sertifikatene, men programvaren må kontrollere tilbakekallingen for at tiltaket skal ha effekt. |
| Tilgjengelige løsninger utenfor nettlesere | Løsninger var tilgjengelige for Go, Python-pakken certifi og Rusts webpki-roots. |
| Node.js | En løsning var fortsatt under arbeid per 21. oktober. |
Hvilken beskyttelse hadde nådd brukerne?
Responsen startet etter at en forsker ved navn Wayne varslet nettleserprodusentene 17. oktober. Han demonstrerte kontroll over alle de åtte kompromitterte nøklene ved å bruke dem til å signere advarselen sin digitalt. At løsninger var tilgjengelige, innebar ikke at alle installasjoner var blitt oppdatert.
Hvordan svake nøkler undergravde verifisering av nettsteder
Sertifikatutstedere leverer påloggingsopplysningene nettlesere bruker for å bekrefte nettsteders identitet. De private signeringsnøklene har derfor et annet ansvarsområde enn et vanlig nettsteds passord: En kompromittert signeringsnøkkel kan brukes til å lage tilsynelatende ekte sertifikater for andre nettsteder.
Helme sa at han gjenopprettet alle de åtte nøklene fra offentlige sertifikater på under ett sekund. Blant verdiene han identifiserte for de private nøklene, var 4 og 56, noe som illustrerte hvor liten motstand nøklene ga mot gjenoppretting. Han sa at de hadde vært eksponert siden april 2025.
Ifølge Helmes gjennomgang av en Mozilla-feilsak skyldte eMudhra på en feil i skriptet for nøkkeloppsett.
Hvorfor handelsprogramvare krever særskilt oppmerksomhet
For kryptobrukere er den relevante eksponeringen ikke begrenset til å åpne en børs i en nettleser. Børsroboter, handelsskript og lommebokbaserte bakendetjenester kan være avhengige av den berørte programvaren utenfor nettlesere. I teorien kan et forfalsket API-sertifikat for en børs gjøre det mulig for en angriper på samme nettverk å avlytte eller endre trafikken til en robot.
Det var ikke rapportert om kryptorelaterte angrep. Mudit Gupta, teknologidirektør i Polygon Labs, sa at sårbarheten var et generelt programvaresikkerhetsproblem, ikke noe som særskilt gjaldt krypto, og at eldre eller uoppdatert programvare ga særlig grunn til bekymring. Han sa at brukere som holder lommebøker, handelsverktøy og enheter oppdatert, står overfor lavere risiko.
Konklusjon
Nettlesernes respons stengte en umiddelbar vei for å utgi seg for å være noen andre ved hjelp av sertifikater, men løste ikke det bredere programvareproblemet. Den gjenværende eksponeringen avhenger av om de enkelte verktøyene avviser de kompromitterte påloggingsopplysningene – ikke bare av om utstederen har tilbakekalt dem.
Les flere nyheter
Flere nyheter fra FinanceVelix
Ansvarsfraskrivelse
Denne FinanceVelix-artikkelen gir generell informasjon, ikke personlig tilpasset finansiell, investeringsmessig, juridisk eller skattemessig rådgivning. Markedspriser, renter og økonomiske forhold kan endre seg; investeringer innebærer tapsrisiko. Faktaene gjenspeiler materialet som var tilgjengelig da artikkelen ble publisert, og kan endres. Kontroller viktig informasjon uavhengig, og rådfør deg med en kvalifisert fagperson ved behov. Omtale av en eiendel, et selskap eller en tjeneste innebærer ikke en anbefaling.
