Åtta komprometterade signeringsnycklar hos den indiska certifikatutfärdaren eMudhra har blottlagt en klyfta mellan webbläsarnas skydd och programvaran bakom webbplatser och handelsverktyg. Per den tjugoförsta oktober hade de stora webbläsartillverkarna blockerat de berörda certifikaten, men vissa program som inte är webbläsare kunde fortfarande godta förfalskade inloggningsuppgifter eftersom de inte kontrollerar om certifikat har spärrats.
Viktiga punkter
- Forskare återskapade åtta svaga privata nycklar som kunde användas för att signera certifikat som utgav sig för att tillhöra betrodda webbplatser.
- Webbläsartillverkarna blockerade de berörda certifikaten, men spärrning i sig skyddar inte programvara som aldrig kontrollerar den.
- Inga kryptorelaterade attacker hade rapporterats; oron sträcker sig till föråldrad programvara på det bredare internet.
Innehållsförteckning
- Var eMudhras nyckelincident lämnar säkerhetsluckor
- Vilket skydd hade nått användarna?
- Hur svaga nycklar undergrävde verifieringen av webbplatser
- Varför handelsprogramvara kräver särskild uppmärksamhet
- Slutsats
Var eMudhras nyckelincident lämnar säkerhetsluckor
Den viktiga skillnaden är mellan att återkalla ett certifikat och att säkerställa att programvara vägrar att lita på det. eMudhra spärrade de berörda certifikaten, men säkerhetsforskaren Scott Helme varnade för att åtgärden inte skyddar program som inte kontrollerar spärrstatus.
Helme sade att hans tester visade att curl, Python, Node, Go och Java godkände ett förfalskat certifikat för Stripes API. Det var en demonstration av att certifikatet godtogs, inte ett belägg för att Stripe hade utsatts för intrång.
Ett bedrägligt certifikat kan göra det möjligt för en nätverksavlyssnare att utge sig för att vara en betrodd tjänst och läsa eller ändra trafik. Webbläsarblockeringar hanterar den angreppsvägen i skyddade webbläsare; de visar inte att alla separata applikationer eller backend-system har fått motsvarande skydd.
| Post | Detaljer |
|---|---|
| Mozilla och Chrome | Båda blockerade de berörda certifikaten den sjuttonde oktober; Mozillas blockering kom ungefär tre timmar efter rapporten. |
| Apple | Följde upp med sin åtgärd den nittonde oktober. |
| Microsoft | Följde upp den tjugonde oktober. |
| Certifikatspärrning | eMudhra spärrade de berörda certifikaten, men programvara måste kontrollera spärrstatus för att åtgärden ska ha effekt. |
| Tillgängliga korrigeringar för program som inte är webbläsare | Korrigeringar fanns tillgängliga för Go, Pythons certifi-paket och Rusts webpki-roots. |
| Node.js | En korrigering väntade fortfarande per den tjugoförsta oktober. |
Vilket skydd hade nått användarna?
Åtgärderna inleddes efter att en forskare vid namn Wayne larmat webbläsartillverkarna den sjuttonde oktober. Han visade att han kontrollerade alla åtta komprometterade nycklar genom att använda dem för att signera sin varning digitalt. Att korrigeringar fanns tillgängliga innebar inte att varje installation hade uppdaterats.
Hur svaga nycklar undergrävde verifieringen av webbplatser
Certifikatutfärdare tillhandahåller de inloggningsuppgifter som webbläsare använder för att verifiera webbplatsers identitet. Deras privata signeringsnycklar har därför en annan funktion än ett vanligt lösenord till en webbplats: en komprometterad signeringsnyckel kan användas för att skapa certifikat som ser äkta ut för andra webbplatser.
Helme sade att han återskapade alla åtta nycklar från offentliga certifikat på mindre än en sekund. Bland de värden för privata nycklar som han identifierade fanns 4 och 56, vilket visade hur litet motstånd nycklarna erbjöd mot återskapande. Han sade att de hade varit exponerade sedan april 2025.
Enligt Helmes tolkning av en ärendebiljett från Mozilla skyllde eMudhra på en bugg i skriptet för nyckelkonfiguration.
Varför handelsprogramvara kräver särskild uppmärksamhet
För krypt användare begränsas den relevanta exponeringen inte till att öppna en börs i en webbläsare. Börsbotar, handelsskript och plånboksbackend-system kan vara beroende av den berörda programvaran som inte är en webbläsare. I teorin kan ett förfalskat API-certifikat för en börs göra det möjligt för en angripare på samma nätverk att avlyssna eller ändra en bots trafik.
Inga kryptorelaterade attacker hade rapporterats. Mudit Gupta, teknikchef på Polygon Labs, sade att sårbarheten var ett allmänt problem inom programvarusäkerhet, inte något specifikt för krypto, och att äldre eller ouppdaterad programvara var särskilt oroande. Han sade att användare som håller plånböcker, handelsverktyg och enheter uppdaterade löpte lägre risk.
Slutsats
Webbläsarnas åtgärder stängde en omedelbar angreppsväg för att utge sig för att vara certifikatutfärdare, men löste inte det bredare programvaruproblemet. Den kvarstående exponeringen beror på om enskilda verktyg avvisar de komprometterade inloggningsuppgifterna – inte bara på om utfärdaren har spärrat dem.
Läs fler nyheter
Fler nyheter från FinanceVelix
Ansvarsfriskrivning
Den här artikeln från FinanceVelix tillhandahåller allmän information och utgör inte personlig finansiell, investeringsrelaterad, juridisk eller skattemässig rådgivning. Marknadspriser, räntor och ekonomiska förhållanden kan förändras; investeringar innebär risk för förlust. Fakta återspeglar det material som fanns tillgängligt vid publiceringen och kan förändras. Kontrollera viktig information självständigt och rådfråga vid behov en kvalificerad expert. Att en tillgång, ett företag eller en tjänst nämns innebär inte att den rekommenderas.
