CoinDesk
Acht private Schlüssel der indischen Zertifizierungsstelle eMudhra wurden kompromittiert, nachdem Forscher herausgefunden hatten, dass sie sich in weniger als einer Sekunde aus öffentlichen Zertifikaten rekonstruieren ließen. Bei den Schlüsseln handelte es sich Berichten zufolge um winzige Ganzzahlen statt um starke Zufallswerte. Angreifer könnten kompromittierte Schlüssel einer Zertifizierungsstelle nutzen, um vertrauenswürdige Zertifikate zu fälschen und sich als Websites auszugeben. Angriffe auf Nutzer wurden nicht gemeldet.
Warum das wichtig ist
Zertifizierungsstellen stellen digitale Zertifikate aus, mit denen Browser Websites überprüfen. Ein kompromittierter Signaturschlüssel kann dieses Vertrauen untergraben, indem er ein gefälschtes Zertifikat authentisch erscheinen lässt. Laut The Register hat eMudhra mehr als 60 Millionen Zertifikate ausgestellt.
Die Browserhersteller reagierten schnell: Mozilla und Chrome sperrten die Zertifikate am 17. Oktober, Apple folgte am 19. Oktober und Microsoft am 20. Oktober. Auch eMudhra widerrief sie. Als Ursache wurde ein Fehler im Skript des Unternehmens zur Einrichtung der Schlüssel genannt. Wie genau es dazu kam, ist jedoch weiterhin unklar.
Auswirkungen auf den Markt
Browser sind weitgehend geschützt, doch andere Software prüft den Widerruf unterschiedlich zuverlässig. Der Forscher Scott Helme sagte, seine Tests hätten ergeben, dass curl sowie Software mit Python, Node, Go und Java ein gefälschtes Zertifikat für die API von Stripe akzeptierten. Korrekturen für Go, das Python-Paket certifi und Rusts webpki-roots waren verfügbar. Für Node.js stand eine Korrektur zum beschriebenen Zeitpunkt noch aus.
Für Kryptounternehmen konzentriert sich das Risiko auf Systeme außerhalb von Browsern. Börsen-Bots, Trading-Skripte und Wallet-Backends, die betroffene Software verwenden, könnten Abhörversuchen oder manipuliertem Datenverkehr ausgesetzt sein, wenn ein Angreifer sich im selben Netzwerk positionieren kann. Angriffe mit Bezug zu Kryptowährungen wurden nicht gemeldet.
Häufig gestellte Fragen
-
Wie wurden die acht privaten Schlüssel von eMudhra rekonstruiert?
Laut Forschern waren die Schlüssel winzige Ganzzahlen statt starker Zufallswerte. Scott Helme sagte, er habe alle acht in weniger als einer Sekunde aus öffentlichen Zertifikaten rekonstruiert.
-
Was könnten Angreifer mit den kompromittierten Zertifikatsschlüsseln tun?
Mit den Schlüsseln ließen sich echt wirkende Zertifikate fälschen und vertrauenswürdige Websites nachahmen. Dadurch könnten Nutzerdaten abgefangen oder verändert werden.
-
Welche Browserhersteller sperrten die Zertifikate?
Mozilla und Chrome sperrten sie am 17. Oktober, Apple folgte am 19. Oktober und Microsoft am 20. Oktober. Auch eMudhra widerrief die Zertifikate.
-
Warum könnte manche Software trotz des Zertifikatswiderrufs weiterhin gefährdet sein?
Manche Programme prüfen nicht, ob ein Zertifikat widerrufen wurde. Der Widerruf schützt diese Anwendungen daher möglicherweise nicht davor, ein gefälschtes Zertifikat zu akzeptieren.
-
Was bedeutet der Vorfall für Krypto-Handelssysteme?
Börsen-Bots, Trading-Skripte und Wallet-Backends könnten gefährdet sein, wenn sie betroffene Software nutzen und ein Angreifer ihren Netzwerkverkehr abfangen kann. Angriffe auf Kryptowährungen wurden nicht gemeldet.
WuBlockchain
Crypto News
CryptoSlate
Lookonchain
TheBlock