eMudhra: słabe klucze urzędów certyfikacji wymuszają blokady i aktualizacje

Google i Cloudflare ujawniły 20 października kompromitację kluczy ośmiu pośrednich urzędów certyfikacji eMudhra. Problem wynika ze zbyt małej losowości kluczy prywatnych. Pozwala to odtworzyć klucze i tworzyć fałszywe certyfikaty, które mogą zostać zaakceptowane przez oprogramowanie nadal ufające dotkniętym urzędom.

Co się stało

Google otrzymało zgłoszenie od badacza 17 października. Po jego sprawdzeniu jeszcze tego samego dnia przygotowało blokadę kluczy w mechanizmie CRLSet przeglądarki Chrome. Publiczny komunikat producenta oraz niezależny opis działań Cloudflare ukazały się 20 października. To publiczne ujawnienie problemu stanowi nową informację z badanego okna czasowego.

Klucz pośredniego urzędu certyfikacji służy do podpisywania kolejnych certyfikatów. Jego kompromitacja może więc zagrozić połączeniom z wieloma usługami. Możliwość podszycia się pod serwer nie oznacza jednak, że potwierdzono przechwycenie ruchu konkretnej organizacji.

Kogo dotyczy ryzyko

Google podaje, że blokada w Chrome jest oparta na kluczach publicznych, dzięki czemu obejmuje certyfikaty współdzielące te same klucze. Jej dostarczenie przez CRLSet nie wymagało restartu przeglądarki. Nie oznacza to automatycznie ochrony wszystkich programów na tym samym komputerze.

Osobnej oceny wymagają aplikacje serwerowe, narzędzia integracyjne i urządzenia korzystające z własnych magazynów zaufania. Google zapowiedziało również usunięcie emSign ECC Root CA - G3 z Chrome Root Store. Operatorzy stron korzystających z tego łańcucha mają uzyskać certyfikat z innej zaufanej hierarchii, aby uniknąć problemów z dostępnością.

Co zrobić teraz

Poniższa lista to zalecenia organizacyjne redakcji, które należy dopasować do używanego oprogramowania:

• Sprawdzić komunikaty dostawców przeglądarek, systemów i bibliotek TLS oraz wdrożyć odpowiednie aktualizacje.
• Ustalić, które aplikacje korzystają z własnego zestawu zaufanych certyfikatów.
• Zweryfikować łańcuchy certyfikatów własnych usług pod kątem emSign ECC Root CA - G3.
• Przygotować wymianę dotkniętych certyfikatów i przetestować połączenia po zmianie.
• Nie obchodzić błędów certyfikatów przez wyłączenie ich sprawdzania.

Komentarz SecurHUB

Magazyny zaufania są częścią infrastruktury wymagającą inwentaryzacji i aktualizacji. Audyt bezpieczeństwa może pomóc wskazać aplikacje, których obsługa certyfikatów wymaga osobnego nadzoru.

Źródła: Google, Cloudflare