AWS usuwa zaufanie do certyfikatów eMudhra. Klienci muszą sprawdzić integracje

AWS opublikował szczegółowe zalecenia dotyczące usuwania zaufania do certyfikatów powiązanych z problemem eMudhra. Nowością jest zakres zmian w usługach chmurowych i obowiązków klientów, w tym termin wymiany odpowiednich certyfikatów dostawców tożsamości przed 28 października. Biuletyn datowany na 24 października o 20:00 PDT został opublikowany 25 października o 03:00 UTC, czyli w wymaganym oknie.

Co nowego po wcześniejszych ostrzeżeniach

SecurHUB opisywał już problem słabych kluczy eMudhra. Obecny komunikat wnosi informacje operacyjne dla użytkowników AWS: które magazyny zaufania są aktualizowane, gdzie klient musi działać samodzielnie i kiedy zmiany mogą wpłynąć na połączenia.

AWS wskazuje trzy certyfikaty główne: AAA Certificate Services, emSign Root TLS CA – G3 oraz emSign ECC Root CA – G3. Usuwanie zaufania dotyczy między innymi weryfikacji połączeń wychodzących do serwerów wskazanych przez klientów. Nie oznacza to potwierdzenia włamania do AWS. Producent nie informuje w tym biuletynie o zaobserwowanych atakach wykorzystujących problem.

Kogo dotyczą zmiany

Administratorzy CloudFront powinni sprawdzić łańcuch certyfikatu serwera źródłowego. Jeśli prowadzi do usuwanego urzędu, aktualizacja magazynu zaufania może spowodować odrzucanie połączeń TLS. AWS wskazuje 28 października jako docelowy termin wdrożenia tej zmiany.

Osobnej kontroli wymagają Application Load Balancer korzystające z uwierzytelniania OIDC lub JWT. Jeżeli certyfikat dostawcy tożsamości prowadzi do wskazanych urzędów, AWS zaleca jego wymianę przed 28 października. Harmonogram producenta przewiduje aktualizowanie istniejących ALB od 29 do 31 października. Są to zapowiedziane terminy, a nie potwierdzenie stanu konkretnego konta.

Co zrobić teraz

• Sprawdzić powiadomienia AWS Health dotyczące używanych usług.
• Zweryfikować łańcuchy certyfikatów źródeł CloudFront i dostawców tożsamości ALB.
• Wymienić objęte problemem certyfikaty zgodnie z instrukcjami AWS i przetestować połączenia.
• Zaktualizować pakiet ca-certificates w Amazon Linux oraz używane wydania Amazon Corretto.
• Sprawdzić zależności aplikacji Pythona; AWS wskazuje botocore 1.43.117 lub nowszy.
• Nie wyłączać weryfikacji certyfikatów w celu obejścia błędów połączenia.

Komentarz SecurHUB

Zmiany zaufania do urzędów certyfikacji mogą wpływać na dostępność usług i logowanie użytkowników. Audyty bezpieczeństwa pomagają wskazać zależności od magazynów certyfikatów oraz zaplanować weryfikację integracji po zmianach.

Źródła: AWS Security Bulletin, TechGeeks