Sicherheitswarnung: Acht TLS-Zertifikate von eMudhra kompromittiert
Browseranbieter und Softwareentwickler haben acht TLS-Zertifikate der indischen Behörde eMudhra gesperrt, da die privaten Schlüssel als unsicher eingestuft wurden.
Sicherheitsexperten haben weltweit auf die Entdeckung acht fehlerhafter TLS-Zertifikate reagiert, die von der indischen Zertifizierungsstelle eMudhra Limited ausgestellt wurden. Die privaten Schlüssel dieser Zertifikate wiesen Sicherheitsmängel auf, die es Angreifern hätten ermöglichen können, gefälschte, aber als vertrauenswürdig eingestufte Anmeldedaten für Webseiten und Apps zu erstellen.
Browser-Hersteller und große Plattformbetreiber haben die betroffenen Zertifikate bereits gesperrt. Bisher liegen keine Berichte über eine böswillige Nutzung der Schlüssel in Zertifikatstransparenz-Protokollen vor. Experten warnen jedoch, dass die Gefahr für schwer zu aktualisierende Systeme, wie Linux-Distributionen oder IoT-Geräte, weiterhin besteht.
Die Sicherheitslücke wurde öffentlich, nachdem ein Dritter einen Nachrichtenteil mit einem der kompromittierten Schlüssel signierte und damit die Zugriffsmöglichkeit demonstrierte. Während die Browser-basierte Absicherung weitgehend abgeschlossen ist, unterstreicht der Vorfall die Schwierigkeit, eine fragmentierte Infrastruktur gegen solche Angriffe abzusichern.