Acht intermediate certificaten zijn gecompromitteerd, kan leiden tot afluisteren

In dit artikel:

Bij eMudhra lijken de sleutels van acht certificaten te zijn buitgemaakt. Beveiligingsonderzoeker Wayne publiceerde een bericht dat met die sleutels was ondertekend, waarmee hij zijn bevindingen onderbouwde. Mozilla en Google bevestigden het incident en verwijderden de certificaten uit hun vertrouwde opslag. Ook veel andere softwareprojecten en Linux-distributies hebben dat gedaan; sommige diensten, waaronder Node.js, waren daar nog mee bezig.

Zes van de certificaten zijn intermediate-certificaten voor TLS. Met de bijbehorende sleutels kunnen aanvallers geldige certificaten voor eigen websites maken, waardoor browsers die bijvoorbeeld phishingpagina’s als betrouwbaar kunnen beschouwen. De sleutels kunnen ook worden gebruikt om versleuteld netwerkverkeer te onderscheppen. De overige twee certificaten werden gebruikt voor codeondertekening. De certificaten waren uitgegeven door emSign, een onderdeel van eMudhra, waaronder ook een Nederlandse vestiging certificaten verstrekte. Het ging om varianten met domain-, organization- en extended validation.

De precieze oorzaak van het uitlekken is onbekend. Volgens Ars Technica hadden de sleutels opvallend weinig entropie: bij moderne cryptografische sleutels ligt die doorgaans rond 384 bits, terwijl de onderzochte sleutels tussen 4 en 237 bits zouden hebben. Vooral kleinere diensten en IoT-apparaten kunnen nog kwetsbaar zijn zolang zij niet zijn bijgewerkt. De schaal van het herstel doet daardoor denken aan Heartbleed, waarvan de nasleep meer dan een jaar duurde.