Wada certyfikatu eMudhra skłoniła Google, Mozillę, Apple i Microsoft do zablokowania dotkniętych nią certyfikatów między 17 a 20 października 2026 r., po tym jak badacze odzyskali klucze prywatne dla ośmiu certyfikatów pośrednich. Google zapowiedziało również szersze usunięcie certyfikatu głównego eMudhra; wdrożenie tej zmiany na urządzeniach korzystających z Chrome Root Store zaplanowano na 27 października.
Najważniejsze informacje
- Osiem certyfikatów pośrednich miało łatwe do odzyskania klucze prywatne: sześć wykorzystywanych do zabezpieczania witryn internetowych i dwa do podpisywania kodu.
- Przed blokadą Chrome nie odnotowano publicznie żadnych certyfikatów TLS powiązanych z sześcioma dotkniętymi certyfikatami pośrednimi; zakres narażenia poza mechanizmami egzekwującymi przejrzystość certyfikatów pozostaje niepewny.
- Planowane usunięcie certyfikatu głównego przez Chrome może zakłócić działanie również prawidłowych certyfikatów, co będzie wymagać ich wymiany przez operatorów dotkniętych witryn.
Spis treści
- Jak wada certyfikatu eMudhra podważyła zaufanie
- Co potwierdziły, a czego nie potwierdziły awaryjne blokady
- Szersze usunięcie certyfikatu głównego wyznacza termin wymiany
- Podsumowanie
Jak wada certyfikatu eMudhra podważyła zaufanie
Klucze, których dotyczył problem, zostały wygenerowane 30 kwietnia 2025 r. Dennis Jackson, inżynier Mozilli, poinformował, że wszystkie osiem wykorzystywało liczby całkowite mniejsze niż 256, dzięki czemu można je było odzyskać niemal natychmiast, zamiast uzyskać losowość oczekiwaną od bezpiecznych kluczy kryptograficznych.
Mozilla niezależnie odzyskała klucze 17 października, potwierdzając ustalenia badacza. Posiadanie dotkniętych problemem kluczy podpisujących TLS mogło umożliwić atakującemu sfałszowanie certyfikatów podszywających się pod witryny internetowe w przypadku klientów, którzy nadal ufali tym urzędom certyfikacji.
W opisie przyczyn źródłowych eMudhra przypisała problem skryptowi generującemu klucze, który utworzył drugą, słabszą parę kluczy o podobnej etykiecie. Para ta została omyłkowo użyta w żądaniu podpisania certyfikatu; na kilku etapach procesu doszło do błędów ludzkich.
| Podmiot | Szczegóły |
|---|---|
| Chrome | Zablokował dotknięte klucze publiczne 17 października 2026 r. |
| Firefox | Zakończył blokowanie za pomocą OneCRL 17 października o 22:59 UTC. |
| eMudhra | Oznaczyła osiem dotkniętych certyfikatów jako unieważnione 18 października. |
| Apple | Wprowadziło blokadę 19 października. |
| Microsoft | Wprowadził blokadę 20 października. |
Co potwierdziły, a czego nie potwierdziły awaryjne blokady
Chrome zablokował dotknięte klucze publiczne za pomocą mechanizmu CRLSet, chroniąc użytkowników bez konieczności aktualizacji lub ponownego uruchamiania przeglądarki. Firefox wdrożył blokadę OneCRL tego samego dnia, a następnie eMudhra unieważniła osiem certyfikatów.
Google poinformowało, że przed wprowadzeniem blokady w dziennikach Certificate Transparency nie znaleziono żadnych certyfikatów TLS powiązanych z sześcioma dotkniętymi certyfikatami pośrednimi. W związku z tym, jak podała firma, sfałszowane certyfikaty wydane przez te urzędy nie mogły zostać użyte przeciwko klientom egzekwującym te wymogi dotyczące rejestrowania, w tym Chrome.
Ustalenie to nie przesądza, czy klucze były wykorzystywane w inny sposób. Oprogramowanie inne niż przeglądarki nie musi egzekwować przejrzystości certyfikatów ani otrzymywać równoważnych aktualizacji blokujących, dlatego zakres wcześniejszego narażenia pozostaje niewyjaśniony.
Szersze usunięcie certyfikatu głównego wyznacza termin wymiany
W komunikacie Google o ochronie użytkowników Chrome i Androida opisano również usunięcie certyfikatu emSign ECC Root CA – G3 z Chrome Root Store. Powszechne wdrożenie tej zmiany zaplanowano na 27 października 2026 r., a wcześniej miała ona być dostępna w kanałach przedpremierowych.
Szersze działanie ma znaczenie, ponieważ niektóre prawidłowe certyfikaty powiązane z tym certyfikatem głównym również przestaną działać w Chrome. Google poinformowało, że operatorzy dotkniętych witryn muszą uzyskać i zainstalować zastępcze certyfikaty TLS z innej hierarchii uwzględnionej w jego magazynie certyfikatów głównych, a eMudhra zobowiązała się pomóc subskrybentom w migracji.
Google poinformowało również, że bada, czy pozostałe urzędy certyfikacji eMudhra powinny nadal być uwzględniane w Chrome Root Store. Przegląd ten był w toku i nie oznaczał zakończonego usunięcia wszystkich urzędów eMudhra.
Podsumowanie
Natychmiastowe blokady certyfikatów dotyczyły znanych słabych kluczy, ale szersze działania naprawcze nadal trwały. Kolejnym zaplanowanym etapem było wdrożenie usunięcia certyfikatu głównego przez Chrome 27 października, które mogło wpłynąć na prawidłowe witryny, jeśli nie wymieniły certyfikatów powiązanych z usuwanym certyfikatem głównym.
Więcej wiadomości
Więcej wiadomości FinanceVelix
Zastrzeżenie
Ten artykuł FinanceVelix zawiera ogólne informacje, a nie spersonalizowane porady finansowe, inwestycyjne, prawne ani podatkowe. Ceny rynkowe, stopy procentowe i warunki gospodarcze mogą się zmieniać; inwestycje wiążą się z ryzykiem straty. Fakty odzwierciedlają informacje dostępne w chwili publikacji i mogą ulec zmianie. Należy samodzielnie weryfikować istotne informacje i w razie potrzeby skonsultować się z wykwalifikowanym specjalistą. Wzmianka o aktywach, spółce lub usłudze nie stanowi rekomendacji.
