Kompromitovani ključevi osam eMudhra CA sertifikata
Privatni ključevi osam intermedijarnih CA sertifikata indijske kompanije eMudhra su kompromitovani. Nastali su sa premalo slučajnosti, pa se mogu izračunati iz javnih sertifikata, a pregledači su ih blokirali u roku od nekoliko sati.
Kompanija eMudhra, koja prodaje sertifikate pod brendom emSign, ima kompromitovane privatne ključeve za osam intermedijarnih CA sertifikata. Mozilla i Chrome Root Program to su potvrdili 20. oktobra.
Intermedijarni CA potpisuje sertifikate sajtova, pa bi neko sa takvim ključem mogao izdati sertifikat za bilo koji sajt. Ključevi su generisani sa premalo slučajnosti, navode Google-ovi bezbednosni timovi. eMudhra je saopštila da je greška u ceremoniji iz aprila 2025. stvorila slab skup ključeva.
Chrome i Firefox su šest TLS intermedijarnih sertifikata blokirali u roku od nekoliko sati, Apple i Microsoft 19. i 20. oktobra. Nije poznato da li je bilo zloupotrebe. Pregledači su opoziv dobili automatski, ali mnogi drugi programi ne proveravaju opoziv.
Go je 20. oktobra dodao filter u standardnu biblioteku, a certifi, webpki-roots i Homebrew ca-certificates uklanjaju emSign ECC Root CA - G3. Cloudflare je objavio ispravke za WARP, 1.1.1.1 i cloudflared.
Chrome će ukloniti emSign ECC Root CA - G3 u verziji 43 root store-a, što se očekuje 27. oktobra. Operatori sajtova sa sertifikatima na tom rootu moraju preći na drugu hijerarhiju.
Šta uraditi - Proveriti da li vaši sertifikati vode na emSign ECC Root CA - G3 i preći na drugu hijerarhiju pre 27. oktobra. - Ažurirati Go na najnoviju bezbednosnu verziju, zatim certifi, webpki-roots, Homebrew ca-certificates i Linux ca-certificates pakete. - Ažurirati Cloudflare WARP, 1.1.1.1 i cloudflared.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove