Kunci privat dari delapan sertifikat CA perantara eMudhra telah disusupi. Sertifikat-sertifikat tersebut terhubung ke root yang dipercaya oleh program root Mozilla, Microsoft, Apple, dan Chrome, serta oleh banyak trust store hilir. Pelapor awal, Wayne, membuktikan kompromi tersebut dengan menandatangani pesan menggunakan kunci privat masing-masing dari kedelapan CA perantara dan melaporkannya kepada tim program root pada 17 Oktober. Paket tersebut mencakup pesan, sertifikat, kunci publik, dan tanda tangan sehingga siapa pun dapat memverifikasi tanda tangan menggunakan OpenSSL.
Program root dan banyak trust store hilir telah mengambil tindakan. Sertifikat tersebut telah diblokir di Firefox dan Chrome sejak 17 Oktober, di perangkat Apple sejak 19 Oktober, dan di Microsoft sejak 20 Oktober. Masalah ini diungkapkan secara bertanggung jawab kepada trust store hilir pada 19 Oktober, dan banyak di antaranya telah merilis atau sedang menyiapkan pembaruan. CA juga telah mencabut sertifikat perantara yang disusupi.
Penyerang yang memegang salah satu kunci privat yang disusupi dapat meniru situs web atau layanan mana pun. Mozilla, Microsoft, Apple, dan Chrome telah memperbaiki masalah ini bagi penggunanya melalui alat pencabutan seperti CRLite dan CRLSets. Namun, banyak klien lain tidak menggunakan informasi pencabutan dan memerlukan pembaruan perangkat lunak untuk berhenti memercayai perantara yang disusupi. Pengguna disarankan untuk segera memperbarui peramban dan sistem operasi ke versi terbaru.
Versi yang telah diperbaiki tersedia untuk beberapa alat dan paket pengembang, termasuk Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates, dan NSS, sementara beberapa, seperti Node.js dan Composer, masih menunggu pada saat pelaporan. Pengguna Linux yang berpengalaman dapat secara manual tidak mempercayai root yang terdampak di trust store sistem hingga distribusi merilis paket ca-certificates yang diperbarui, tetapi hal ini tidak direkomendasikan bagi pengguna biasa.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing