Die privaten Schlüssel von acht Zwischen-CA-Zertifikaten von eMudhra wurden kompromittiert. Die Zertifikate sind mit Stammzertifikaten verknüpft, denen die Root-Programme von Mozilla, Microsoft, Apple und Chrome sowie viele nachgelagerte Vertrauensspeicher vertrauen. Der ursprüngliche Meldende, Wayne, belegte die Kompromittierung, indem er eine Nachricht mit dem privaten Schlüssel jeder der acht Zwischen-CAs signierte und sie am 17. Oktober den Teams der Root-Programme meldete. Das Paket enthält die Nachricht, die Zertifikate, die öffentlichen Schlüssel und die Signaturen, sodass jeder die Signaturen mit OpenSSL überprüfen kann.
Die Root-Programme und viele nachgelagerte Vertrauensspeicher haben Maßnahmen ergriffen. Die Zertifikate sind seit dem 17. Oktober in Firefox und Chrome, seit dem 19. Oktober auf Apple-Geräten und seit dem 20. Oktober in Microsoft-Produkten blockiert. Das Problem wurde am 19. Oktober verantwortungsvoll an nachgelagerte Vertrauensspeicher gemeldet, und viele haben Updates veröffentlicht oder bereiten diese vor. Die CA hat die kompromittierten Zwischenzertifikate außerdem widerrufen.
Ein Angreifer, der einen der kompromittierten privaten Schlüssel besitzt, könnte sich als beliebige Website oder beliebiger Dienst ausgeben. Mozilla, Microsoft, Apple und Chrome haben das Problem für ihre Nutzer durch Widerrufswerkzeuge wie CRLite und CRLSets behoben. Viele andere Clients nutzen jedoch keine Widerrufsinformationen und benötigen Softwareupdates, um den kompromittierten Zwischenzertifikaten nicht mehr zu vertrauen. Nutzern wird empfohlen, Browser und Betriebssysteme so schnell wie möglich auf die neuesten Versionen zu aktualisieren.
Für mehrere Entwicklerwerkzeuge und Pakete stehen gepatchte Versionen zur Verfügung, darunter Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates und NSS. Andere, etwa Node.js und Composer, waren zum Zeitpunkt der Meldung noch ausstehend. Erfahrene Linux-Nutzer können den betroffenen Root-Zertifikaten im Systemvertrauensspeicher manuell das Vertrauen entziehen, bis die Distributionen aktualisierte ca-certificates-Pakete ausliefern. Für normale Nutzer wird dies jedoch nicht empfohlen.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing