Les clés privées de huit certificats de CA intermédiaires d'eMudhra ont été compromises. Ces certificats sont rattachés à des racines approuvées par les programmes racines de Mozilla, Microsoft, Apple et Chrome, ainsi que par de nombreux magasins de confiance en aval. Le signaleur initial, Wayne, a démontré la compromission en signant un message avec la clé privée de chacune des huit CA intermédiaires, puis en le signalant aux équipes des programmes racines le 17 octobre. Le dossier comprend le message, les certificats, les clés publiques et les signatures, afin que chacun puisse vérifier les signatures à l'aide d'OpenSSL.
Les programmes racines et de nombreux magasins de confiance en aval ont pris des mesures. Les certificats sont bloqués dans Firefox et Chrome depuis le 17 octobre, sur les appareils Apple depuis le 19 octobre et sous Microsoft depuis le 20 octobre. Le problème a été divulgué de manière responsable aux magasins de confiance en aval le 19 octobre, et plusieurs ont publié ou préparent des mises à jour. L'autorité de certification a également révoqué les certificats intermédiaires compromis.
Un attaquant détenant l'une des clés privées compromises pourrait se faire passer pour n'importe quel site web ou service. Mozilla, Microsoft, Apple et Chrome ont corrigé le problème pour leurs utilisateurs grâce à des outils de révocation tels que CRLite et CRLSets. Cependant, de nombreux autres clients n'utilisent pas les informations de révocation et nécessitent des mises à jour logicielles pour cesser de faire confiance aux intermédiaires compromis. Il est conseillé aux utilisateurs de mettre à jour leurs navigateurs et systèmes d'exploitation dans les meilleurs délais.
Des versions corrigées sont disponibles pour plusieurs outils et paquets destinés aux développeurs, notamment Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates et NSS, tandis que d'autres, comme Node.js et Composer, étaient encore en attente au moment du signalement. Les utilisateurs Linux expérimentés peuvent retirer manuellement leur confiance aux racines concernées dans le magasin de confiance du système, jusqu'à ce que les distributions publient des paquets ca-certificates mis à jour, mais cette démarche n'est pas recommandée aux utilisateurs ordinaires.
Source: Hacker News · Résumé par HeadlinesBriefing