Zwakke eMudhra-certificaten zetten webvertrouwen onder druk
Browsermakers blokkeren acht certificaten nadat onderzoekers extreem zwakke privésleutels ontdekten.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Acht tussenliggende certificaten van de Indiase certificaatautoriteit eMudhra zijn ingetrokken of geblokkeerd nadat hun privésleutels onvoldoende willekeur bleken te bevatten. Daardoor konden aanvallers in theorie vervalste HTTPS-certificaten maken voor willekeurige websites.
Google meldde dinsdag dat het op 17 oktober een rapport kreeg over de certificaten. De privésleutels waren volgens het bedrijf zo zwak gegenereerd dat iemand er vertrouwde certificaten mee had kunnen namaken. Daarmee zou een aanvaller zich kunnen voordoen als een website en versleuteld verkeer kunnen onderscheppen of aanpassen.
De certificaten waren onderdeel van de publieke certificaatketen van eMudhra. Zulke tussenliggende certificaten mogen namens een vertrouwde hoofdcertificaatautoriteit certificaten voor websites uitgeven. Het probleem zat volgens Google niet in een algemene breuk van HTTPS, maar in deze specifieke sleutels.
Chrome blokkeerde de betrokken sleutels via een snelle intrekkingslijst. Google zegt daarnaast het bovenliggende rootcertificaat uit de Chrome Root Store te verwijderen. Die wijziging wordt volgens het bedrijf naar verwachting op 27 oktober uitgerold naar apparaten die deze opslag gebruiken. Websites die nog een certificaat in deze keten gebruiken, moeten daarom overstappen naar een andere certificaatketen.
Ook Firefox blokkeerde de acht certificaten via zijn OneCRL-systeem. Mozilla bracht daarnaast updates uit voor gebruikers bij wie automatische intrekkingsupdates niet beschikbaar zijn. Cloudflare zegt eigen diensten te hebben aangepast en meldt dat het geen actieve uitbuiting van het probleem binnen zijn infrastructuur heeft vastgesteld.
De directe gevolgen lijken daardoor vooral te liggen bij beheerders van websites en systemen die nog niet zijn bijgewerkt. Google zegt dat er vóór de blokkade geen certificaten die aan zes van de betrokken tussenliggende certificaten waren gekoppeld in Certificate Transparency waren geregistreerd. Dat logboek maakt uitgifte van publieke certificaten controleerbaar, maar biedt geen volledige garantie voor alle mogelijke toepassingen.
eMudhra zegt dat het incident wordt onderzocht en beperkt blijft tot de acht certificaten. Volgens het bedrijf zijn de root-privésleutels niet getroffen en heeft slechts één van de tussenliggende certificaten ooit in productie gestaan. Geen van de betrokken certificaten zou eindcertificaten voor websites hebben uitgegeven, aldus eMudhra. Die verklaring is gebaseerd op intern onderzoek en openbare registraties; de bredere oorzaak van de fout is nog niet vastgesteld.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kernbeweringen zijn bevestigd door Google, Cloudflare en eMudhra. Onzekerheden over de precieze oorzaak en eventueel misbruik zijn expliciet als onderzoeksvragen beschreven.
- bevestigd Acht eMudhra-tussenliggende certificaten hadden gecompromitteerde of extreem zwakke privésleutels. — Google en eMudhra beschrijven de acht betrokken certificaten en de zwakke sleutelgeneratie. bron
- bevestigd Google en Firefox hebben de betrokken certificaten geblokkeerd. — Google beschrijft de CRLSet-blokkade; eMudhra vat de Firefox-blokkade en Mozilla-updates samen. bron
- bevestigd Er zijn geen publieke eindcertificaten aangetroffen die door de betrokken certificaten zijn uitgegeven. — eMudhra meldt dit op basis van interne analyse en openbare Certificate Transparency-gegevens; Google bevestigt geen geregistreerde certificaten voor zes tussenliggende certificaten. bron
- bevestigd Cloudflare heeft geen actieve uitbuiting binnen zijn diensten vastgesteld. — Cloudflare meldt dit in zijn incidentbeschrijving. bron
- bevestigd De Chrome Root Store verwijdert de bovenliggende rootcertificaat en verwacht die wijziging op 27 oktober uit te rollen. — Google noemt deze datum en maatregel expliciet. bron
Noot van de redactie
De blokkades en het ontbreken van bekende uitgegeven eindcertificaten zijn door meerdere technische partijen beschreven. De oorzaak van de zwakke sleutelgeneratie en de vraag of buiten Cloudflare ergens misbruik plaatsvond, zijn nog in onderzoek.Bronnen
- Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates — Google Security Blog
- 8 eMudhra certificates are compromised. Here's what you need to know — Cloudflare
- eMudhra Statement on Recent Certificate Security Incident — eMudhra
- The Internet goes on high alert after discovery of 8 compromised TLS certs — Ars Technica
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- Het Parool — „cybersecurity https”
- NRC — „cybersecurity https”
- Tweakers — „cybersecurity https”