Google, Mozilla, Apple und Microsoft blockieren verwundbare eMudhra-Zertifikate

Google, Mozilla, Apple und Microsoft reagierten dringend auf acht gefährdete Zwischenzertifikate der indischen Zertifizierungsstelle eMudhra, nachdem das Problem am 17. Oktober bekannt wurde. Sechs Zertifikate waren für HTTPS und zwei für die Code-Signierung. Aufgrund schwacher privater Schlüssel war es möglich, Zertifikate anderer Websites zu fälschen und bei der Abfangung einer Verbindung eine gefälschte Ressource als echt darzustellen, wie z.B. eine Kryptowährungsbörse oder eine Wallet-Seite. Mozilla-Ingenieure stellten die Schlüssel selbst wieder her und bestätigten, dass die Schwachstelle leicht auszunutzen ist.

Der Grund war ein Fehler bei der Schlüsselerzeugung im April 2025. Die Zertifikate verwendeten den P-384-Kurvenalgorithmus, aber anstelle von zufälligen großen Zahlen hatten die Schlüssel Werte unter 256, sodass ein Brute-Force-Angriff nicht mehr als 256 Versuche erfordern würde. Das Problem lag nicht in der Stärke von P-384, sondern in der fehlerhaften Erzeugung. Die Schwachstelle wurde erstmals von einem Forscher unter dem Pseudonym Wayne entdeckt, der den Browserentwicklern den Besitz aller acht Schlüssel nachwies. eMudhra bestätigte, dass die Schlüssel im April 2025 erstellt wurden und erklärte, dass Root- und andere Zwischenzentren nicht betroffen waren.

Das Risiko war umfangreich, aber die Folgen waren weniger schwerwiegend: Laut eMudhra wurde nur eines der acht Zertifikate in der Arbeitsinfrastruktur verwendet. Es gab keine Aufzeichnungen über TLS-Zertifikate durch die sechs betroffenen Zentren in der Certificate Transparency. Chrome blockierte die Schlüssel am 17. Oktober über CRLSet, und Mozilla fügte sie am selben Tag zu OneCRL hinzu – der Schutz erreichte Benutzer mit Standardeinstellungen in weniger als drei Stunden. Apple blockierte die Zertifikate am 19. Oktober und Microsoft am 20.; Cloudflare aktualisierte WARP und Cloudflare Tunnel und verstärkte den Schutz in CDN und Zero Trust.

Es gibt keine Bestätigungen für Ausnutzungen gegen Firefox-, Chrome-, Edge- und Safari-Nutzer, noch Anzeichen von Angriffen auf Cloudflare-Dienste. Dennoch schließt Mozilla das Root-Zertifikat emSign ECC Root CA – G3 aus dem NSS-Store aus, und Google wird dasselbe im Chrome Root Store ab dem 27. Oktober tun. eMudhra wird die Ausstellung über dieses Root einstellen und die Kunden auf eine andere Infrastruktur migrieren: Etwa 30.000 Zertifikate müssen ersetzt werden, von denen etwa 97% über ACME ausgestellt wurden.