Was passiert ist
Am 17. Oktober meldete ein Forscher Mozilla, dass die privaten Schlüssel von acht Zwischen-Zertifizierungsstellen von eMudhra mit zu wenig Zufälligkeit erzeugt wurden. Der Sicherheitsforscher Scott Helme rekonstruierte alle acht Schlüssel aus den öffentlichen Zertifikaten in weniger als einer Sekunde. Ihre Werte lauteten 4, 56 und 115. Erzeugt wurden die Schlüssel bei einer Zeremonie im April 2025. Sechs der Stellen waren für TLS gedacht, zwei für Code-Signierung.
Warum das gefährlich ist
Wer so einen Schlüssel kennt, kann Zertifikate für jede beliebige Website ausstellen, und Browser würden sie für echt halten. Das ist eine fertige Grundlage, um Datenverkehr abzufangen.
Wie die Branche reagierte
Google sperrte die Zertifikate in Chrome, auf Android und Chromebooks ohne Browser-Update und entfernt das Stammzertifikat emSign ECC Root CA G3 aus seinem Speicher, die Änderung erreicht die Geräte am 27. Oktober. Mozilla sperrte sie über OneCRL, Cloudflare aktivierte Schutzmaßnahmen ab dem 19. Oktober. Laut Google tauchten keine passenden gefälschten TLS-Zertifikate in den Certificate-Transparency-Logs auf, und eMudhra sagt, diese Stellen hätten nie Endzertifikate ausgestellt. Laut Ars Technica verlässt das Unternehmen das Geschäft mit TLS-Zertifikaten.
Was zu prüfen ist
Rund 30.000 legitime Zertifikate müssen migriert werden. Besonders genau sollte man Zahlungsgateways, ältere Java-Anwendungen, mobile Clients und Netzwerkgeräte ansehen, denn sie haben teils eigene Vertrauensspeicher, die nicht aktualisiert wurden.