Chyba v certifikáte eMudhra viedla spoločnosti Google, Mozilla, Apple a Microsoft k blokovaniu dotknutých certifikátov v období od 17. do 20. októbra 2026 po tom, čo výskumníci obnovili súkromné podpisové kľúče pre osem sprostredkujúcich certifikátov. Google tiež oznámil rozsiahlejšie odstránenie koreňového certifikátu eMudhra; zavedenie na zariadeniach, ktoré využívajú Chrome Root Store, sa očakáva 27. októbra.
Kľúčové zistenia
- Súkromné kľúče ôsmich sprostredkujúcich certifikátov sa dali ľahko obnoviť: šesť sa používalo na zabezpečenie webových stránok a dva na podpisovanie kódu.
- Pred zablokovaním v Chrome neboli verejne zaznamenané žiadne TLS certifikáty nadväzujúce na šesť dotknutých sprostredkujúcich certifikátov; rozsah vystavenia mimo presadzovania pravidiel transparentnosti certifikátov zostáva neistý.
- Plánované odstránenie koreňového certifikátu v Chrome môže narušiť aj fungovanie legitímnych certifikátov, ktoré budú musieť dotknutí prevádzkovatelia webových stránok nahradiť.
Obsah
- Ako chyba v certifikáte eMudhra narušila dôveru
- Čo núdzové blokovania preukázali — a čo nie
- Rozsiahlejšie odstránenie koreňového certifikátu stanovuje termín na výmenu
- Záver
Ako chyba v certifikáte eMudhra narušila dôveru
Dotknuté kľúče certifikačnej autority so sídlom v Indii boli vygenerované 30. apríla 2025. Inžinier Mozilly Dennis Jackson uviedol, že všetkých osem používalo celé čísla menšie ako 256, vďaka čomu sa dali obnoviť takmer okamžite a neposkytovali náhodnosť očakávanú od bezpečných kryptografických kľúčov.
Mozilla kľúče nezávisle obnovila 17. októbra, čím potvrdila zistenia výskumníka. Držba dotknutých podpisových kľúčov TLS mohla útočníkovi umožniť sfalšovať certifikáty a vydávať sa za webové stránky pred klientmi, ktorí týmto autoritám naďalej dôverovali.
Vo svojom opise základnej príčiny eMudhra pripísala problém skriptu na generovanie kľúčov, ktorý vytvoril druhý, slabší pár kľúčov s podobným označením. Tento pár sa omylom použil na žiadosť o podpis certifikátu; k ľudským chybám došlo vo viacerých fázach procesu.
| Položka | Podrobnosti |
|---|---|
| Chrome | Zablokoval dotknuté verejné kľúče 17. októbra 2026. |
| Firefox | Blokovanie prostredníctvom OneCRL dokončil 17. októbra o 22:59 UTC. |
| eMudhra | Osem dotknutých certifikátov označila 18. októbra za zrušené. |
| Apple | Blokovanie zaviedol 19. októbra. |
| Microsoft | Blokovanie zaviedol 20. októbra. |
Čo núdzové blokovania preukázali — a čo nie
Chrome zablokoval dotknuté verejné kľúče prostredníctvom mechanizmu CRLSet, čím ochránil používateľov bez potreby aktualizovať alebo reštartovať prehliadač. Firefox nasadil blokovanie cez OneCRL v ten istý deň a eMudhra následne zrušila platnosť ôsmich certifikátov.
Google uviedol, že pred zavedením blokovania sa v záznamoch Certificate Transparency nenachádzali žiadne TLS certifikáty nadväzujúce na šesť dotknutých sprostredkujúcich certifikátov. Podľa spoločnosti sa preto podvodné certifikáty vydané týmito autoritami nemohli použiť proti klientom, ktorí presadzovali tieto požiadavky na zaznamenávanie, vrátane prehliadača Chrome.
Toto zistenie však nepreukazuje, či boli kľúče zneužité inde. Softvér mimo prehliadačov nemusí presadzovať transparentnosť certifikátov ani dostávať rovnocenné aktualizácie blokovania, takže rozsah prípadného predchádzajúceho vystavenia zostáva nejasný.
Rozsiahlejšie odstránenie koreňového certifikátu stanovuje termín na výmenu
Oznámenie spoločnosti Google o ochrane používateľov Chrome a Androidu opisovalo aj odstránenie certifikátu emSign ECC Root CA – G3 z Chrome Root Store. Širšie zavedenie sa očakávalo 27. októbra 2026, pričom v predbežných verziách malo byť dostupné skôr.
Toto širšie opatrenie je dôležité, pretože v Chrome prestanú fungovať aj niektoré legitímne certifikáty nadväzujúce na tento koreňový certifikát. Google uviedol, že dotknutí prevádzkovatelia webových stránok si musia zaobstarať a nainštalovať náhradné TLS certifikáty z inej hierarchie zahrnutej v jeho koreňovom úložisku a že eMudhra sa zaviazala pomôcť predplatiteľom s migráciou.
Google tiež uviedol, že skúma, či majú byť zostávajúce certifikačné autority eMudhra naďalej zahrnuté v Chrome Root Store. Preskúmanie stále prebiehalo; nešlo o dokončené odstránenie všetkých autorít eMudhra.
Záver
Bezprostredné blokovanie certifikátov riešilo známe slabé kľúče, širšie nápravné opatrenia však naďalej prebiehali. Ďalším plánovaným míľnikom bolo zavedenie odstránenia koreňového certifikátu v Chrome 27. októbra, ktoré mohlo ovplyvniť legitímne webové stránky, ak by dovtedy nenahradili certifikáty naviazané na odstraňovaný koreňový certifikát.
Ďalšie správy
Upozornenie
Tento článok FinanceVelix poskytuje všeobecné informácie, nie personalizované finančné, investičné, právne ani daňové poradenstvo. Trhové ceny, úrokové sadzby a ekonomické podmienky sa môžu meniť; investovanie so sebou nesie riziko straty. Fakty zodpovedajú dostupným podkladom v čase uverejnenia a môžu sa zmeniť. Dôležité informácie si nezávisle overte a v prípade potreby sa poraďte s kvalifikovaným odborníkom. Zmienka o aktíve, spoločnosti alebo službe nepredstavuje odporúčanie.
