eMudhra के आठ इंटरमीडिएट CA प्रमाणपत्रों की निजी कुंजियाँ समझौता की गई हैं। ये प्रमाणपत्र Mozilla, Microsoft, Apple और Chrome रूट प्रोग्राम द्वारा विश्वसनीय रूट से जुड़े हैं और कई डाउनस्ट्रीम ट्रस्ट स्टोर भी इन पर भरोसा करते हैं। मूल रिपोर्टर Wayne ने आठों इंटरमीडिएट CA की निजी कुंजी से एक संदेश पर हस्ताक्षर करके और 17 अक्टूबर को रूट प्रोग्राम टीमों को रिपोर्ट करके इस समझौते को प्रदर्शित किया। इस पैकेज में संदेश, प्रमाणपत्र, सार्वजनिक कुंजियाँ और हस्ताक्षर शामिल हैं, ताकि कोई भी OpenSSL का उपयोग करके हस्ताक्षरों की पुष्टि कर सके।
रूट प्रोग्राम और कई डाउनस्ट्रीम ट्रस्ट स्टोर कार्रवाई कर चुके हैं। 17 अक्टूबर से ये प्रमाणपत्र Firefox और Chrome में, 19 अक्टूबर से Apple उपकरणों में और 20 अक्टूबर से Microsoft में अवरुद्ध हैं। 19 अक्टूबर को यह समस्या डाउनस्ट्रीम ट्रस्ट स्टोर को जिम्मेदारीपूर्वक बताई गई, और कई ने अपडेट जारी कर दिए हैं या तैयार कर रहे हैं। CA ने समझौता किए गए इंटरमीडिएट प्रमाणपत्रों को भी रद्द कर दिया है।
किसी भी समझौता की गई निजी कुंजी वाला हमलावर किसी भी वेबसाइट या सेवा का रूप धारण कर सकता है। Mozilla, Microsoft, Apple और Chrome ने CRLite और CRLSets जैसे रद्दीकरण उपकरणों के माध्यम से अपने उपयोगकर्ताओं के लिए इसका समाधान किया है। हालाँकि, कई अन्य क्लाइंट रद्दीकरण जानकारी का उपयोग नहीं करते और समझौता किए गए इंटरमीडिएट पर भरोसा बंद करने के लिए सॉफ़्टवेयर अपडेट की आवश्यकता होती है। उपयोगकर्ताओं को सलाह दी जाती है कि वे ब्राउज़र और ऑपरेटिंग सिस्टम को जल्द से जल्द नवीनतम संस्करण में अपडेट करें।
Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates और NSS सहित कई डेवलपर टूल और पैकेज के पैच किए गए संस्करण उपलब्ध हैं, जबकि Node.js और Composer जैसे कुछ रिपोर्ट के समय तक लंबित थे। अनुभवी Linux उपयोगकर्ता वितरण द्वारा अपडेटेड ca-certificates पैकेज जारी करने तक सिस्टम ट्रस्ट स्टोर में प्रभावित रूट पर मैन्युअल रूप से भरोसा हटा सकते हैं, लेकिन सामान्य उपयोगकर्ताओं के लिए यह अनुशंसित नहीं है।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित