As chaves privadas de oito certificados de CA intermediária da eMudhra foram comprometidas. Os certificados estão encadeados a raízes confiáveis pelos programas de raiz da Mozilla, Microsoft, Apple e Chrome, bem como por muitos repositórios de confiança a jusante. O relator original, Wayne, demonstrou o comprometimento ao assinar uma mensagem com a chave privada de cada uma das oito CAs intermediárias e reportá-la às equipes dos programas de raiz em 17 de outubro. O pacote inclui a mensagem, os certificados, as chaves públicas e as assinaturas, para que qualquer pessoa possa verificar as assinaturas usando o OpenSSL.
Os programas de raiz e muitos repositórios de confiança a jusante tomaram providências. Os certificados estão bloqueados no Firefox e no Chrome desde 17 de outubro, em dispositivos Apple desde 19 de outubro e na Microsoft desde 20 de outubro. O problema foi divulgado de forma responsável aos repositórios de confiança a jusante em 19 de outubro, e muitos já lançaram ou estão preparando atualizações. A CA também revogou os certificados intermediários comprometidos.
Um atacante que possua qualquer uma das chaves privadas comprometidas poderia se passar por qualquer site ou serviço. A Mozilla, a Microsoft, a Apple e o Chrome corrigiram o problema para seus usuários por meio de ferramentas de revogação como o CRLite e o CRLSets. No entanto, muitos outros clientes não consultam informações de revogação e exigem atualizações de software para deixar de confiar nas intermediárias comprometidas. Recomenda-se que os usuários atualizem seus navegadores e sistemas operacionais para as versões mais recentes o quanto antes.
Há versões corrigidas disponíveis para várias ferramentas e pacotes de desenvolvedores, incluindo Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates e NSS, enquanto outros, como Node.js e Composer, ainda estavam pendentes no momento da divulgação. Usuários experientes de Linux podem desconfiar manualmente das raízes afetadas no repositório de confiança do sistema até que as distribuições lancem pacotes ca-certificates atualizados, mas isso não é recomendado para usuários comuns.
Fonte: Hacker News · Resumido por HeadlinesBriefing