Rete · 3 ore fa
La compromissione di otto chiavi intermedie CA di eMudhra ha portato a blocchi in Chrome e Firefox e a un intervento nelle release di sicurezza di Go, come ha confermato il Chrome Root Program il 20 ottobre. La risposta riguarda sia i certificati dei siti web sia quelli per la firma del codice.
Chi possiede una chiave intermedia può usarla per firmare un certificato valido per qualsiasi sito. Prima del blocco di Chrome, però, nei log pubblici di Certificate Transparency non compariva alcun certificato web collegato alle sei chiavi TLS compromesse. Go ha inserito nelle release gli hash delle chiavi: i sistemi Linux non offrono un metodo affidabile per revocarle tramite gli archivi di certificati attendibili.
Per chi distribuisce o verifica software con Go, l’incidente coinvolge anche gli intermedi di firma del codice, non solo i certificati dei siti. I log CT limitano le prove di abuso delle chiavi TLS, ma non chiariscono come siano state sottratte né chi altro possa averne una copia.
2 fonti che coprono questa storia
Tech Giants Block eMudhra Certificates Tied to 8 Compromised Keys
Google, Mozilla, Apple, the Go project and others moved swiftly to block the affected certificates from the Indian certificate authority (CA).
Eight eMudhra CA Keys Compromised, Triggering Emergency Fixes Across Browsers and Software
Eight eMudhra CA keys were compromised, prompting browser blocks and software fixes.
Part of the PlainSec briefing for 2026-10-20