La compromissione eMudhra raggiunge browser e software Go
La compromissione di otto chiavi intermedie CA di eMudhra ha portato a blocchi in Chrome e Firefox e a un intervento nelle release di sicurezza di Go, come ha confermato il Chrome Root Program il 20 ottobre. La risposta riguarda sia i certificati dei siti web sia quelli per la firma del codice.
Chi possiede una chiave intermedia può usarla per firmare un certificato valido per qualsiasi sito. Prima del blocco di Chrome, però, nei log pubblici di Certificate Transparency non compariva alcun certificato web collegato alle sei chiavi TLS compromesse. Go ha inserito nelle release gli hash delle chiavi: i sistemi Linux non offrono un metodo affidabile per revocarle tramite gli archivi di certificati attendibili.
Per chi distribuisce o verifica software con Go, l’incidente coinvolge anche gli intermedi di firma del codice, non solo i certificati dei siti. I log CT limitano le prove di abuso delle chiavi TLS, ma non chiariscono come siano state sottratte né chi altro possa averne una copia.
Mozilla, Google, Apple block compromised eMudhra CA certificates
Certificate authority eMudhra revoked eight compromised intermediate certificates after researchers found their private keys were so weak that anyone could recover them almost instantly and use them to forge trusted certificates for legitimate websites.