Otte hemmelige nøgler udstedt af eMudhra, en indisk certificeringsmyndighed, der garanterer for hjemmesider, blev kompromitteret, hvilket fik browser- og softwareproducenter til hurtigt at udsende rettelser. Nøglerne blev beskrevet som svage nok til at blive knækket, ifølge hændelsens fakta.
Kompromitteringen betyder, at nøglerne kunne bruges til at udgive sig for at være legitime hjemmesider eller signere ondsindet software, selvom der ikke er bekræftet specifikke angreb. De berørte nøgler er en del af den infrastruktur, der understøtter sikre forbindelser mellem brugere og hjemmesider.
Hvad de kompromitterede nøgler kunne gøre
Certificeringsmyndigheder som eMudhra udsteder digitale certifikater, som browsere bruger til at verificere en hjemmesides identitet. De hemmelige nøgler er det kryptografiske materiale bag disse certifikater. Hvis en nøgle er svag nok til at blive knækket, kan en angriber potentielt oprette falske certifikater, der ser gyldige ud, hvilket giver dem mulighed for at opsnappe trafik eller distribuere malware under dække af at være en betroet kilde.
Fakta specificerer ikke, hvordan nøglerne blev kompromitteret, eller hvilke certifikater der er berørt. Men beskrivelsen af nøglerne som svage nok til at blive knækket tyder på, at de kan være genereret med utilstrækkelig tilfældighed eller forældede algoritmer, hvilket gør dem sårbare over for brute-force-angreb.
Hvorfor browsere handler hurtigt
Browser- og softwareproducenter reagerer med rettelser, en standardreaktion, når certificeringsmyndigheders nøgler kompromitteres. Browsere vedligeholder lister over betroede certificeringsmyndigheder og kan tilbagekalde tillid til specifikke nøgler eller hele myndigheder. Hurtigheden af reaktionen afspejler den potentielle risiko: hvis en kompromitteret nøgle forbliver betroet, kan enhver bruger, der er afhængig af den browser, blive udsat.
Rettelserne vil sandsynligvis involvere opdateringer til certifikatspærrelister eller tillidslagre, som browsere bruger til at afgøre, hvilke certifikater der skal accepteres. Brugere bemærker måske ikke ændringerne direkte, men opdateringerne er beregnet til at lukke et sårbarhedsvindue.
Hvad eMudhra har udtalt
Fakta indeholder ikke nogen udtalelse fra eMudhra om kompromitteringen. Virksomheden er en indisk certificeringsmyndighed, en af flere, der udsteder digitale certifikater til hjemmesider og software. Dens rolle i tillidskæden betyder, at enhver svaghed i dens nøgler kan have vidtrækkende konsekvenser.
Certificeringsmyndigheder er forpligtet til at følge strenge sikkerhedsstandarder, og kompromitteringer offentliggøres typisk til browserproducenter og regulatorer. Fakta angiver ikke, om eMudhra har underrettet berørte parter eller taget skridt til at tilbagekalde de kompromitterede nøgler.
Hvad der sker nu
Browser- og softwareproducenter udruller rettelser, men den fulde effekt afhænger af, hvor hurtigt brugerne opdaterer deres software. Fakta specificerer ikke en tidslinje for rettelserne eller om de kompromitterede nøgler er fuldt tilbagekaldt. Brugere og administratorer bør holde øje med browseropdateringer og anvende dem hurtigt.
Hændelsen rejser også spørgsmål om, hvordan nøglerne blev genereret, og om andre certificeringsmyndigheder kan have lignende svagheder. Fakta behandler ikke disse spørgsmål, men reaktionen fra browserproducenterne tyder på, at de tager kompromitteringen alvorligt.
For nu er fokus på at få rettelserne ud og sikre, at de kompromitterede nøgler ikke kan bruges til at underminere tilliden til sikre forbindelser. Næste skridt er sandsynligvis en gennemgang af eMudhras praksis og muligvis bredere ændringer i, hvordan certificeringsmyndigheder genererer og beskytter deres nøgler.
