Deficiența certificatelor eMudhra a determinat Google, Mozilla, Apple și Microsoft să blocheze certificatele afectate între 17 și 20 octombrie 2026, după ce cercetătorii au recuperat cheile private de semnare pentru opt certificate intermediare. Google a anunțat, de asemenea, eliminarea mai amplă a unui certificat rădăcină eMudhra, lansarea pe dispozitivele care folosesc Chrome Root Store fiind preconizată pentru 27 octombrie.
Idei principale
- Opt certificate intermediare aveau chei private care puteau fi recuperate cu ușurință: șase pentru securitatea site-urilor web și două pentru semnarea codului.
- Înainte de blocarea impusă de Chrome, niciun certificat TLS care se lega de cele șase certificate intermediare afectate nu fusese înregistrat public; expunerea în afara aplicării cerințelor de transparență a certificatelor rămâne incertă.
- Eliminarea planificată a certificatului rădăcină de către Chrome ar putea afecta și certificate legitime, obligând operatorii site-urilor afectate să le înlocuiască.
Cuprins
- Cum a compromis încrederea deficiența certificatelor eMudhra
- Ce au stabilit și ce nu au stabilit blocările de urgență
- Eliminarea mai amplă a certificatului rădăcină creează un termen-limită pentru înlocuire
- Concluzie
Cum a compromis încrederea deficiența certificatelor eMudhra
Cheile afectate ale autorității de certificare din India au fost generate la 30 aprilie 2025. Inginerul Mozilla Dennis Jackson a declarat că toate cele opt foloseau numere întregi mai mici decât 256, ceea ce le făcea recuperabile aproape instantaneu, în loc să ofere nivelul de aleatorietate așteptat de la cheile criptografice securizate.
Mozilla a recuperat independent cheile la 17 octombrie, confirmând constatările cercetătorului. Deținerea cheilor de semnare TLS afectate ar putea permite unui atacator să falsifice certificate și să se dea drept site-uri web în fața clienților care încă aveau încredere în autoritățile respective.
În explicația privind cauza principală, eMudhra a atribuit problema unui script de generare a cheilor care a produs o a doua pereche de chei, mai slabă, cu o etichetă similară. Perechea respectivă a fost folosită din greșeală pentru cererea de semnare a certificatului, procesul implicând erori umane în mai multe etape.
| Element | Detalii |
|---|---|
| Chrome | A blocat cheile publice afectate la 17 octombrie 2026. |
| Firefox | A finalizat blocarea prin OneCRL la 22:59 UTC, pe 17 octombrie. |
| eMudhra | A marcat drept revocate cele opt certificate afectate la 18 octombrie. |
| Apple | A implementat blocarea la 19 octombrie. |
| Microsoft | A implementat blocarea la 20 octombrie. |
Ce au stabilit și ce nu au stabilit blocările de urgență
Chrome a blocat cheile publice afectate prin mecanismul CRLSet, protejând utilizatorii fără să fie necesară actualizarea sau repornirea browserului. Firefox a implementat blocarea OneCRL în aceeași zi, iar ulterior eMudhra a revocat cele opt certificate.
Google a declarat că, înainte de acțiunea sa de blocare, în jurnalele Certificate Transparency nu apărea niciun certificat TLS care să se lege de cele șase certificate intermediare afectate. Prin urmare, a spus compania, certificatele frauduloase emise de autoritățile respective nu ar fi putut fi folosite împotriva clienților care aplicau aceste cerințe de înregistrare, inclusiv Chrome.
Constatarea nu stabilește dacă cheile au fost folosite abuziv în alte medii. Software-ul care nu este destinat navigării web nu aplică neapărat cerințele de transparență a certificatelor și nici nu primește actualizări echivalente de blocare, astfel că amploarea unei eventuale expuneri anterioare rămâne neclară.
Eliminarea mai amplă a certificatului rădăcină creează un termen-limită pentru înlocuire
Anunțul Google privind protecția utilizatorilor Chrome și Android a descris și eliminarea certificatului emSign ECC Root CA – G3 din Chrome Root Store. Lansarea pe scară largă era preconizată pentru 27 octombrie 2026, cu disponibilitate mai devreme pe canalele de pre-lansare.
Acțiunea mai amplă este importantă deoarece unele certificate legitime care se leagă de acel certificat rădăcină vor înceta, de asemenea, să funcționeze în Chrome. Google a declarat că operatorii site-urilor web afectate trebuie să obțină și să instaleze certificate TLS de înlocuire dintr-o altă ierarhie inclusă în magazinul său de certificate rădăcină și că eMudhra s-a angajat să ajute abonații să migreze.
Google a mai declarat că investighează dacă celelalte autorități de certificare eMudhra ar trebui să rămână incluse în Chrome Root Store. Analiza era în curs și nu reprezenta o eliminare deja finalizată a tuturor autorităților eMudhra.
Concluzie
Blocările imediate ale certificatelor au vizat cheile slabe cunoscute, însă măsurile mai ample de remediere erau încă în desfășurare. Următorul reper programat era lansarea eliminării certificatului rădăcină de către Chrome, la 27 octombrie, care ar putea afecta site-urile legitime ce nu înlocuiseră certificatele legate de certificatul rădăcină eliminat.
Citiți mai multe știri
Declinarea responsabilității
Acest articol FinanceVelix oferă informații generale și nu constituie consultanță financiară, de investiții, juridică sau fiscală personalizată. Prețurile de piață, ratele dobânzilor și condițiile economice se pot schimba; investițiile implică riscul unor pierderi. Informațiile reflectă materialele disponibile la momentul publicării și se pot modifica. Verificați în mod independent informațiile importante și consultați, când este necesar, un specialist calificat. Menționarea unui activ, a unei companii sau a unui serviciu nu reprezintă o recomandare.
