Säkerhetsbrist i eMudhra-certifikat tvingar fram globala uppdateringar
Privata nycklar för åtta mellancertifikat från indiska eMudhra visade sig vara bristfälliga, vilket föranlett omedelbara spärrar från webbläsare och mjukvaruutvecklare.
Den indiska certifikatutfärdaren eMudhra har bekräftat en allvarlig sårbarhet i genereringen av privata nycklar för åtta av sina mellancertifikat. På grund av ett fel i processen var nycklarna matematiskt triviala att återskapa, vilket gav angripare teoretisk möjlighet att utfärda förfalskade HTTPS-certifikat och avlyssna krypterad trafik.
Mozilla, Google, Apple och Microsoft agerade snabbt för att återkalla förtroendet för de drabbade certifikaten. Genom uppdateringar av spärrlistor (CRL) har webbläsare som Firefox och Chrome kunnat blockera nycklarna effektivt. Även inom mjukvaruutveckling har flera ekosystem, däribland Go, Python och Rust, tvingats distribuera säkerhetsuppdateringar för att rensa sina inbyggda förtroendelager.
Enligt eMudhra orsakades felet vid en nyckelgenereringsceremoni i april 2025. Företaget hävdar att de flesta av de drabbade certifikaten aldrig implementerades i en produktionsmiljö och att inga slutcertifikat har utfärdats med dessa nycklar. En intern utredning av händelsen pågår fortfarande.
Experter varnar för att risken kvarstår för applikationer som inte automatiskt synkroniserar sina certifikatlistor med operativsystemets eller webbläsarens säkerhetsuppdateringar. Användare uppmanas att se till att all programvara hålls uppdaterad för att säkerställa att osäkra certifikat inte längre accepteras.