Acht geheime Schlüssel bei eMudhra, einem indischen Unternehmen, das die Echtheit von Websites bestätigt, wurden kompromittiert. Browser- und Softwarehersteller bringen hastig Sicherheitsupdates heraus.
Wenn ein Nutzer eine Website besucht, prüft sein Browser ein digitales Zertifikat, um zu bestätigen, dass die Website echt ist. Unternehmen, sogenannte Zertifizierungsstellen, stellen diese Zertifikate aus, und eMudhra ist eine davon. Laut The Register hat das Unternehmen mehr als 60 Millionen Zertifikate ausgestellt.
Jede Zertifizierungsstelle signiert ihre Zertifikate mit einem privaten Schlüssel. Man kann sich das wie einen Hauptstempel vorstellen. Wenn jemand diesen Stempel stiehlt oder knackt, kann er gefälschte, echt wirkende Zertifikate für jede beliebige Website erstellen. Da
Auch Krypto-Nutzer könnten betroffen sein, allerdings vor allem außerhalb des Browsers. Börsen-Bots, Handelsskripte und Wallet-Backends laufen oft mit Python, Node oder Go. Ein gefälschtes Zertifikat für die API einer Börse könnte es einem Angreifer im selben Netzwerk theoretisch ermöglichen, den Datenverkehr eines Bots mitzulesen oder zu verändern. Bisher wurden keine Krypto-Angriffe gemeldet.
Browserhersteller und Softwareentwickler haben Notfall-Updates veröffentlicht. Mozilla erhielt den Bericht erst am 17. Oktober nach 20 Uhr UTC und hatte etwa drei Stunden später eine Sperre eingerichtet. Chrome sperrte die Zertifikate noch am selben Tag. Apple folgte am 19. Oktober und Microsoft am 20. Oktober. eMudhra hat sie ebenfalls widerrufen.
Wie genau es zu diesem Desaster kam, wurde in Mozillas offiziellem Sicherheitsbulletin offengelegt. Helmes Interpretation eines Mozilla-Bug-Tickets zufolge machte eMudhra einen Fehler in seinem Skript zur Schlüsselkonfiguration dafür verantwortlich.
Die eigentliche Sorge gilt den Bereichen außerhalb des Browsers. Viele Programme prüfen nie, ob ein Zertifikat widerrufen wurde. „Die Tatsache, dass eMudhra und Sectigo diese Zwischenzertifikate widerrufen haben, hilft ihnen also überhaupt nicht“, schrieb Helme.
Seinen Tests zufolge akzeptierten Tools wie curl, Python, Node, Go und Java ein gefälschtes Zertifikat für die API von Stripe. Updates für Go, das Python-Paket certifi und Rusts webpki-roots sind verfügbar. Bei der letzten Überprüfung stand ein Update für Node.js noch aus.