Osiem certyfikatów TLS eMudhra ze słabymi kluczami, przeglądarki już je blokują

Osiem pośrednich certyfikatów TLS indyjskiego urzędu certyfikacji eMudhra Limited miało tak słabe klucze prywatne, że dało się nimi wystawić zaufany certyfikat dla dowolnej strony w internecie. Przeglądarki, część dużych aplikacji i niektóre języki programowania zablokowały już wszystkie osiem. Rejestry certificate transparency nie pokazują dotąd złośliwego użycia tych kluczy. Zgłaszający dowiódł kontroli nad jednym z nich, podpisując nim komunikat opublikowany pod adresem emudhra.we-have-a-problem.com.

Kogo dotyczy

Zagrożenie potrwa najdłużej w dystrybucjach Linuksa, urządzeniach wbudowanych i IoT, kontenerach Docker, zapomnianych serwerach oraz narzędziach wiersza poleceń z własną kopią certyfikatów głównych. Filippo Valsorda, opiekun kryptografii w języku Go, ocenia, że sprzątanie będzie większe niż po luce Heartbleed z 2014 roku.

Co zrobić

Dystrybucje Linuksa wciąż wydają aktualizacje, a część z nich nie jest jeszcze gotowa. Gdy się pojawią, administratorzy muszą je zainstalować na wszystkich maszynach.