Las claves privadas de ocho certificados de CA intermedia de eMudhra han sido comprometidas. Los certificados se encadenan a raíces confiadas por los programas raíz de Mozilla, Microsoft, Apple y Chrome, así como por muchos almacenes de confianza posteriores. El reportero original, Wayne, demostró el compromiso firmando un mensaje con la clave privada de cada una de las ocho CA intermedias y reportándolo a los equipos de los programas raíz el 17 de octubre. El paquete incluye el mensaje, los certificados, las claves públicas y las firmas, de modo que cualquiera puede verificar las firmas usando OpenSSL.
Los programas raíz y muchos almacenes de confianza posteriores han tomado medidas. Los certificados han estado bloqueados en Firefox y Chrome desde el 17 de octubre, en dispositivos Apple desde el 19 de octubre y en Microsoft desde el 20 de octubre. El problema se divulgó de manera responsable a los almacenes de confianza posteriores el 19 de octubre, y muchos han publicado o están preparando actualizaciones. La CA también ha revocado los certificados intermedios comprometidos.
Un atacante que posea cualquiera de las claves privadas comprometidas podría suplantar cualquier sitio web o servicio. Mozilla, Microsoft, Apple y Chrome han remediado el problema para sus usuarios mediante herramientas de revocación como CRLite y CRLSets. Sin embargo, muchos otros clientes no consultan la información de revocación y requieren actualizaciones de software para dejar de confiar en las intermedias comprometidas. Se recomienda a los usuarios actualizar cuanto antes sus navegadores y sistemas operativos a las versiones más recientes.
Hay versiones parcheadas disponibles para varias herramientas y paquetes de desarrollo, entre ellos Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates y NSS, mientras que algunos, como Node.js y Composer, seguían pendientes en el momento del reporte. Los usuarios expertos de Linux pueden desconfiar manualmente de las raíces afectadas en el almacén de confianza del sistema hasta que las distribuciones publiquen paquetes ca-certificates actualizados, pero esto no se recomienda a usuarios comunes.
Fuente: Hacker News · Resumido por HeadlinesBriefing