eMudhra'nın sekiz ara sertifika yetkilisi güvensiz anahtarlarla üretildi, sahte sertifika riski doğdu

Tarayıcılar etkilenen ara yetkilileri hızla engelledi, ancak web PKI'a bağlı diğer yazılımların çoğunun bu ara yetkilileri filtreleyecek bir yolu yok ve güncelleme yayılana kadar savunmasız kalmaya devam ediyorlar.

eMudhra'ya ait sekiz ara sertifika yetkilisi sertifikasının özel anahtarlarının ele geçirildiği ortaya çıktı. Bu sertifikalardan altısı TLS, ikisi kod imzalama içindi. Anahtarlar güvensiz biçimde üretilmişti: son bayt dışında hepsi sıfırdı ve son bayt küçük bir kümeden seçiliyordu. Bu nedenle anahtarlar sıralanabilir ve açık anahtarları çıkarılabilir; herkes bu anahtarları türetip sahte sertifika üretebilir.

Tarayıcılar, etkilenen ara yetkilileri arka plan iptal listeleri üzerinden hızla engelledi. Ancak diğer yazılımların çoğu ara yetkilileri filtreleyemiyor ve bu nedenle açık kalmaya devam ediyor. Linux dağıtımları, Electron, Go, pip ve rustls gibi araçlar güncellenmiş CA paketlerini yayımladı; yine de bu güncellemelerin yaygınlaşması zaman alacak, yamalanmamış ya da destek süresi dolmuş sistemler savunmasız kalmaya devam edecek.

Bazı projeler emSign ECC Root CA - G3 kökünü tamamen kaldırdı. Bu, o köke zincirlenmiş meşru sertifikaları da etkiliyor. Olay ayrıca, web PKI köklerine dayanan karşılıklı TLS kimlik doğrulamasının risk altında olduğunu gösteriyor; sahte istemci sertifikaları kabul edilebilir. CAA kayıtları ve Certificate Transparency tarayıcılar dışında daha yaygın kullanılsaydı yardımcı olabilirdi.