As chaves privadas de oito certificados de CAs intermediárias da eMudhra foram comprometidas, segundo a InfoQ. Seis são para TLS e são confiadas pelos programas de raiz da Apple, do Chrome, da Microsoft e da Mozilla; dois são para assinatura de código e confiados pela Microsoft. Quem tiver essas chaves pode emitir certificados falsos e se passar por sites e serviços.
De acordo com a InfoQ, as chaves não foram geradas com entropia adequada: quase todos os bytes são zero e só o último assume um de oito valores, o que permite enumerá-las. O artigo afirma que não há evidência de invasão da eMudhra. A descoberta é creditada a “Wayne”, que, segundo o resumo do incidente, assinou em 17 de outubro a mensagem “We have a problem here” com a chave de cada uma das oito intermediárias e reportou aos programas de raiz; a divulgação aos repositórios de confiança foi em 19 de outubro.
Firefox e Chrome bloquearam as CAs desde 17 de outubro, via OneCRL, CRLite e CRLSets. A Apple bloqueou em 19 de outubro e a Microsoft em 20 de outubro. O risco maior está fora dos navegadores: muitos clientes não verificam revogação nem Certificate Transparency. Por isso distribuições e ferramentas publicaram pacotes de CA atualizados, entre eles ca-certificates, Go, Python certifi, Node.js e curl.
Para usuários e administradores, a orientação do resumo é atualizar navegadores, sistemas e o pacote ca-certificates, e testar o cliente com os comandos curl indicados na página. Sistemas sem atualização ativa, incluindo os em fim de vida, continuam vulneráveis.
Fonte original: InfoQ
Outras referências: