Tech-Giganten blockieren 8 eMudhra-Zertifikate wegen Fälschungsgefahr

Tech-Giganten haben Notfallsperren gegen acht anfällige digitale Zertifikate eingerichtet, die es Angreifern ermöglichen könnten, legitime Websites zu imitieren.

Bis Dienstag hatten Browser-Entwickler und andere große Technologieunternehmen Schutzmaßnahmen gegen acht Zwischenzertifikate der in Indien ansässigen Zertifizierungsstelle eMudhra Limited eingeführt, nachdem entdeckt wurde, dass deren private Schlüssel unzureichend gesichert waren. 

Der Mozilla-Kryptografie-Ingenieur Dennis Jackson schrieb in einem Vorfallsbericht, dass Mozilla die privaten Schlüssel unabhängig wiederhergestellt habe, als das Unternehmen am Samstag erstmals über den Fehler informiert wurde, was bestätigte, dass der Prozess der Schlüsselerzeugung „fehlerhaft“ und „leicht auszunutzen“ war. 

Ein Angreifer, der die Verbindung eines Nutzers abfängt, könnte laut Mozilla gefälschte Zertifikate verwenden, um sich als legitime Website auszugeben und potenziell die ausgetauschten Informationen zu lesen oder zu verändern.

Während viele Unternehmen die betroffenen Zertifikate schnell sperrten, bleibt die Bedrohung für Anwendungen und Systeme bestehen, die diese Sperren nicht automatisch erhalten.

In einem Blogpost am Dienstag erklärte das Sicherheitsteam von Mozilla Firefox, dass es den Bericht am Samstag erhalten und daraufhin die betroffenen Zertifikate in Firefox mithilfe von OneCRL gesperrt habe, was noch am selben Tag abgeschlossen wurde. Anschließend wurde ein Update für den Browser auf Desktop und Android veröffentlicht, um Nutzer mit benutzerdefinierten Einstellungen zu schützen, die den Empfang des OneCRL-Updates verhinderten.