Intialaisen eMudhran sertifikaattien suojausvirhe johti laajoihin estotoimiin

Intialaisen varmentaja eMudhran emSign-yksikön kahdeksan välisertifikaatin yksityisavaimet ovat paljastuneet kriittisesti heikoiksi. Virheellinen avainten luontiprosessi johti siihen, että P-384-avaimet olivat käytännössä arvattavissa, mikä mahdollisti teoriassa väärennettyjen HTTPS-sertifikaattien luomisen ja verkkoliikenteen kaappaamisen.

Selainvalmistajat, kuten Google, Mozilla ja Apple, reagoivat tilanteeseen välittömästi estämällä kyseisten sertifikaattien käytön sertifikaattien peruutuslistojen (CRL) kautta. Mozilla päivitti Firefox-selaimen alle kolmessa tunnissa, kun taas Google Chrome päivitti suojauksen CRLSet-mekanismillaan. Vaikutus ulottuu myös ohjelmistokehitykseen, sillä Go-, Python- ja Rust-ekosysteemien on täytynyt päivittää luottamusvarastonsa virheellisten avainten poistamiseksi.

eMudhra ilmoitti, että ongelma liittyy huhtikuussa 2025 järjestettyyn avainten luontiseremoniaan. Yhtiön mukaan suurin osa virheellisistä sertifikaateista ei ollut tuotantokäytössä, eikä niiden kautta ollut ehditty allekirjoittaa loppukäyttäjäsertifikaatteja. Yhtiö jatkaa tapauksen teknistä tutkintaa.

Vaikka verkkoselaimet on päivitetty, asiantuntijat kehottavat käyttäjiä tarkistamaan järjestelmiensä ja käyttämiensä sovellusten päivitykset. Koska monet sovellukset käyttävät omia erillisiä sertifikaattivarastoja, ne eivät välttämättä saa päivityksiä automaattisesti käyttöjärjestelmän tai selaimen mukana.