eMudhras certifikatbrist fick Google, Mozilla, Apple och Microsoft att blockera berörda certifikat mellan den 17 och 20 oktober 2026, efter att forskare återvunnit privata signeringsnycklar för åtta mellanliggande certifikat. Google meddelade också att ett eMudhra-rotcertifikat skulle tas bort i ett bredare beslut, med utrullning till enheter som använder Chrome Root Store väntad den 27 oktober.
Viktiga punkter
- Åtta mellanliggande certifikat hade privata nycklar som var lätta att återvinna: sex för webbplatssäkerhet och två för kodsignering.
- Inga TLS-certifikat som kedjade till de sex berörda mellanliggande certifikaten hade offentliggjorts i loggar före Chromes blockering. Exponering utanför tillämpningen av krav på certifikattransparens är fortfarande osäker.
- Chromes planerade borttagning av rotcertifikatet kan även störa legitima certifikat, vilket innebär att berörda webbplatsoperatörer måste ersätta dem.
Innehåll
- Hur eMudhras certifikatbrist undergrävde förtroendet
- Vad de akuta blockeringarna visade – och inte visade
- Bredare borttagning av rotcertifikat skapar en tidsfrist för ersättning
- Slutsats
Hur eMudhras certifikatbrist undergrävde förtroendet
De berörda nycklarna från den Indienbaserade certifikatutfärdaren genererades den 30 april 2025. Mozilla-ingenjören Dennis Jackson uppgav att alla åtta använde heltal mindre än 256, vilket gjorde dem möjliga att återvinna nästan omedelbart i stället för att tillhandahålla den slumpmässighet som förväntas av säkra kryptografiska nycklar.
Mozilla återvann nycklarna oberoende av varandra den 17 oktober och bekräftade därmed forskarens resultat. Den som hade de berörda TLS-signeringsnycklarna skulle kunna förfalska certifikat och utge sig för att företräda webbplatser gentemot klienter som fortfarande litade på dessa certifikatutfärdare.
I sin redogörelse för grundorsaken hänförde eMudhra problemet till ett nyckelgenereringsskript som skapade ett andra, svagare nyckelpar med en liknande etikett. Detta par användes av misstag för certifikatsigneringsbegäran, till följd av mänskliga misstag i flera led av processen.
| Aktör | Detaljer |
|---|---|
| Chrome | Blockerade berörda publika nycklar den 17 oktober 2026. |
| Firefox | Slutförde blockeringen via OneCRL kl. 22:59 UTC den 17 oktober. |
| eMudhra | Markerade de åtta berörda certifikaten som återkallade den 18 oktober. |
| Apple | Genomförde sin blockering den 19 oktober. |
| Microsoft | Genomförde sin blockering den 20 oktober. |
Vad de akuta blockeringarna visade – och inte visade
Chrome blockerade de berörda publika nycklarna genom sin CRLSet-mekanism, vilket skyddade användare utan att en webbläsaruppdatering eller omstart krävdes. Firefox införde sin OneCRL-blockering samma dag, medan eMudhra därefter återkallade de åtta certifikaten.
Google uppgav att inga TLS-certifikat som kedjade till de sex berörda mellanliggande certifikaten förekom i Certificate Transparency-loggar före blockeringen. Därför kunde bedrägliga certifikat från dessa utfärdare enligt Google inte ha använts mot klienter som tillämpar dessa loggningskrav, däribland Chrome.
Detta fastställer inte om nycklarna missbrukades på andra håll. Programvara utanför webbläsare tillämpar inte nödvändigtvis certifikattransparens och får inte heller motsvarande uppdateringar för blockering, vilket innebär att omfattningen av eventuell tidigare exponering fortfarande är oklar.
Bredare borttagning av rotcertifikat skapar en tidsfrist för ersättning
Googles tillkännagivande om skydd för Chrome- och Android-användare beskrev också att emSign ECC Root CA – G3 skulle tas bort från Chrome Root Store. En bred utrullning väntades den 27 oktober 2026, med tidigare tillgänglighet i förhandsversioner.
Den bredare åtgärden är viktig eftersom vissa legitima certifikat som kedjar till den roten också kommer att sluta fungera i Chrome. Google uppgav att berörda webbplatsoperatörer måste skaffa och installera nya TLS-certifikat från en annan certifikathierarki som ingår i rotlagret, och att eMudhra hade åtagit sig att hjälpa abonnenterna att migrera.
Google uppgav också att företaget undersökte om eMudhras övriga certifikatutfärdare skulle fortsätta att ingå i Chrome Root Store. Granskningen pågick fortfarande; det handlade alltså inte om att samtliga eMudhra-utfärdare redan hade tagits bort.
Slutsats
De omedelbara certifikatblockeringarna åtgärdade de kända svaga nycklarna, men det bredare avhjälpningsarbetet pågick fortfarande. Nästa planerade milstolpe var Chromes utrullning av borttagningen av rotcertifikatet den 27 oktober, vilket kunde påverka legitima webbplatser som inte hade ersatt certifikat knutna till den borttagna roten.
Läs fler nyheter
Fler nyheter från FinanceVelix
Ansvarsfriskrivning
Denna artikel från FinanceVelix tillhandahåller allmän information, inte personlig finansiell, investeringsrelaterad, juridisk eller skattemässig rådgivning. Marknadspriser, räntor och ekonomiska förhållanden kan förändras; investeringar innebär risk för förlust. Uppgifterna återger det material som fanns tillgängligt vid publiceringen och kan förändras. Kontrollera viktig information självständigt och rådfråga vid behov en kvalificerad yrkesperson. Att en tillgång, ett företag eller en tjänst nämns innebär inte att den rekommenderas.
