Sicherheitslücke bei eMudhra-Zertifikaten führt zu breiten Widerrufsmaßnahmen
Acht fehlerhaft generierte private Schlüssel bei der indischen Zertifizierungsstelle eMudhra haben eine Welle von Sicherheitsupdates bei Browsern und Software-Frameworks ausgelöst.
Bei der indischen Zertifizierungsstelle eMudhra wurden acht Zwischenzertifikate (CA) identifiziert, deren private Schlüssel aufgrund eines Fehlers bei der Generierung keine ausreichende Entropie aufwiesen. Dies machte die Schlüssel mathematisch vorhersagbar und ermöglichte theoretisch die Erstellung gefälschter HTTPS-Zertifikate, um den Datenverkehr zu manipulieren.
Die Reaktion der Branche erfolgte umgehend: Browserhersteller wie Mozilla, Google und Apple sperrten die betroffenen Zertifikate über ihre Sperrlisten (CRL). Mozilla konnte die Blockade innerhalb weniger Stunden über OneCRL verbreiten, während Google Chrome entsprechende Hash-Updates via CRLSet verteilte. Auch die Entwickler-Community reagierte; Projekte wie Go, Python und Rust veröffentlichten Aktualisierungen ihrer Zertifikat-Trust-Stores, um das Sicherheitsrisiko für Anwendungen zu eliminieren, die nicht direkt auf die Betriebssystem-Speicher zugreifen.
eMudhra teilte mit, dass der Fehler auf eine Schlüsselgenerierungszeremonie im April 2025 zurückzuführen sei. Nach Angaben des Unternehmens wurden die meisten der betroffenen Zertifikate nie in Produktivsystemen eingesetzt, und es seien keine Endnutzer-Zertifikate mit den fehlerhaften Schlüsseln ausgestellt worden. Die Untersuchung der Ursachen dauert an.
IT-Sicherheitsexperten weisen darauf hin, dass die Gefahr für Anwendungen besteht, die ihre eigenen, isolierten Zertifikatspakete mitführen. Benutzer und Administratoren sollten prüfen, ob ihre Software-Abhängigkeiten auf dem neuesten Stand sind, um die Nutzung der kompromittierten Zertifikate auszuschließen.