Eine Entdeckung, die am 17. Oktober von einem Forscher namens Wayne gemeldet wurde, enthüllte erstaunliche Nachlässigkeit: acht private Schlüssel, die zu eMudhra gehörteneiner indischen Zertifizierungsstelle, waren kindisch einfach. Einer der geheimen Schlüssel war die Nummer 4. Diese Situation löste eine Kettenreaktion aus und zwang Google dazuMozillaApfel und Microsoft Notfall-Patches bereitzustellen, um ihre Benutzer zu schützen.
Wie konnte ein so grundlegender Fehler passieren?
Der Kern des Problems liegt in der Rolle digitaler Zertifikate. Sie wirken wie ein Ausweis für Websites, um sicherzustellen, dass Sie mit dem richtigen Server und nicht mit einem Betrüger kommunizieren. Diese Zertifikate werden von vertrauenswürdigen Stellen über private Schlüssel signiert. Normalerweise handelt es sich bei diesen Schlüsseln, die auf starken Kryptosystemen wie P-384 basieren, um Zahlen, die so astronomisch groß sind, dass es praktisch unmöglich ist, sie zu erraten.. Diese Sicherheitslücke überraschte daher die gesamte Branche.
Im Fall von eMudhra scheiterte die Generierung dieser Schlüssel während einer „Zeremonie“ im April 2025 völlig. Ersten Erklärungen des Unternehmens zufolge hätte ein Fehler in einem Skript zu einem zweiten Satz extrem schwacher Schlüssel geführtmit Werten kleiner als 256. Diese fehlerhaften Schlüssel wurden dann versehentlich verwendet. Der Forscher bewies dies unerbittlich, indem er die Nachricht digital signierte. Wir haben hier ein Problem – Wayne » wobei jeder der acht Schlüssel kompromittiert ist.
Was sind die tatsächlichen Auswirkungen für Benutzer und Unternehmen?
Für einen Angreifer, dem es gelingt, eine Verbindung abzufangen, ist dieser Verstoß ein echter Glücksfall. Er kann ein falsches Zertifikat vorlegensigniert mit einem der kompromittierten Schlüssel, um sich als legitime Website, beispielsweise die Ihrer Bank, auszugeben. Anfällige Software vertraut ihr dann und kann alle ausgetauschten Daten lesen oder ändern. Das Hauptrisiko besteht daher im Identitätsdiebstahl. in großem Umfang, wodurch die Vertraulichkeit persönlicher und finanzieller Informationen gefährdet wird.
Wenn große Browser wie Chrome, Firefox, Safari und Edge in nur wenigen Stunden geschützt wären, wäre die eigentliche Gefahr betrifft das breitere Ökosystem. Viele Anwendungen, Befehlszeilentools wie Curl, Entwicklungsumgebungen wie Node.js oder Bun und sogar verbundene Objekte enthalten ihre eigene Liste vertrauenswürdiger Zertifikate. Diese Systeme profitieren nicht immer von automatischen Updates und bleiben daher verwundbar.
Welche Maßnahmen sollten Sie ergreifen, um sich effektiv zu schützen?
Für Endbenutzer sind die Anweisungen einfach und wichtig: Aktualisieren Sie ohne Verzögerung Browser, Betriebssysteme (Windows, macOS usw.) und alle Anwendungen. Die meisten Korrekturen für Mainstream-Plattformen wurden bereits von Herausgebern bereitgestellt. Glücklicherweise gibt es zum jetzigen Zeitpunkt keine massive böswillige Ausbeutung wurde nicht öffentlich bestätigt, insbesondere weil Browser Transparenz erfordern, die diese gefälschten Zertifikate nicht haben könnten.
Für Entwickler und Systemadministratoren ist die Herausforderung jedoch immens. Sie müssen alle ihre Abhängigkeiten aktiv prüfen und aktualisierenkompilieren Sie die Software mit den korrigierten Bibliotheken neu und überprüfen Sie die Container-Images, die veraltete Zertifikatsspeicher einbetten. Einige Experten, wie der Kryptograf Filippo Valsorda, glauben, dass das Ausmaß dieses Projekts aufgrund der extremen Vielfalt der betroffenen Systeme das Ausmaß des berühmten Heartbleed-Angriffs von 2014 übertreffen könnte.
Die Hacker-News
