Google, Mozilla, Apple i Go blokują certyfikaty eMudhra z ośmiu przejętych kluczy

Google, Mozilla, Apple i projekt Go zablokowały certyfikaty podpisane ośmioma przejętymi kluczami pośrednimi indyjskiego urzędu certyfikacji eMudhra. Przeglądarki dostały blokadę automatycznie, a aplikacje napisane w Go trzeba przebudować na poprawionej wersji. Sześć kluczy służyło do wystawiania certyfikatów TLS dla stron, dwa do podpisywania kodu. Fałszywy certyfikat z takiego klucza pozwala podszyć się pod dowolną stronę lub usługę i przechwycić szyfrowany ruch. Nie wiadomo, jak klucze wyciekły ani czy ktoś już ich użył.

Kogo dotyczy

Chrome, Firefox i produkty Apple dostały blokadę przez własne mechanizmy unieważniania certyfikatów. Firefox w standardowej konfiguracji nie wymaga aktualizacji ani ponownego uruchomienia. Google podaje, że Certificate Transparency w Chrome nie dopuszczało takich certyfikatów jeszcze przed blokadą. Ochrona nie obejmuje sama z siebie aplikacji zbudowanych w Go ani części innego oprogramowania, zależnie od tego, jak zarządza ono zaufaniem do certyfikatów.

Co zrobić

Aplikacje w Go przebuduj na wersji 1.27.3 lub 1.26.10, zgodnie z zaleceniem opiekunów projektu. Pozostałe oprogramowanie może wymagać aktualizacji u producenta.