eMudhra: Fehlerhaftes Python-Skript schwächte private Schlüssel
Laut eMudhras Abschlussbericht hat ein selbst geschriebenes Python-Skript die privaten Schlüssel von acht Zwischenzertifikaten verkürzt, einen sogar auf ein einziges Byte.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenEin fehlerhaftes Python-Skript der eigenen Entwickler hat die privaten Schlüssel hinter acht Zwischenzertifikaten geschwächt, einen davon auf ein einziges Byte. Das geht aus dem vollständigen Vorfallsbericht hervor, den die indische Zertifizierungsstelle eMudhra am Dienstag, 10. November, veröffentlicht hat.
Das Skript verpackte jeden Schlüssel in einen verschlüsselten Container, damit er in Hardware-Sicherheitsmodule (HSMs) an den Standorten in den USA und der EU übertragen werden konnte, und entpackte ihn dort wieder. Ein Fehler führte dazu, dass der entpackte Schlüssel falsch aus dem Hostspeicher gelesen wurde. Die Werte wurden abgeschnitten, die Schlüssel lagen weit unter der üblichen Stärke von 384 Bit. Ein unabhängiger Forscher mit dem Pseudonym „Wayne“ hatte sie vor knapp einem Monat rekonstruiert: Der kleinste Schlüssel lautete „4“, der größte „237“.
Weitere Widerrufe und Ursachen
Neu ist die Angabe, dass eMudhra am 7. November acht zusätzliche RSA-Schlüsselpaare widerrufen hat. Am 19. Oktober hatte das Unternehmen noch erklärt, die RSA-Aussteller seien nicht betroffen. Das Skript kürzte diese Schlüssel zwar nicht, doch lagen ihre privaten Attribute im flüchtigen Speicher eines Python-Prozesses. eMudhra konnte nicht belegen, dass sie den eigenen Regeln entsprechend behandelt wurden.
Betroffen waren sechs TLS- und zwei Code-Signing-Zertifikate. Von 195 aufgelisteten Endzertifikaten stammten 130 von der inzwischen widerrufenen EM DV TLS CA – G2C, darunter Domains von Hochschulen, eines Countys und von eMudhra selbst. Die ursprünglichen Schlüssel seien bei der Zeremonie am 30. April 2025 korrekt erzeugt worden, die HSMs trügen keine Schuld. Das Unternehmen verweist auf das Skript und mangelhafte Prozesskontrollen.
Die Übertragung sei einmalig gewesen: Lieferverzögerungen bei Hardware, eine Richtlinienänderung der Root-Programme zum 15. Juni 2025 und eine Frist zur Cross-Zertifizierung mit Sectigo hätten die Schlüsselerzeugung vor Ende Mai 2025 nötig gemacht.
Warum das wichtig ist
Mit solchen Schlüsseln könnten Angreifer gefälschte Zertifikate für fremde Domains ausstellen und Man-in-the-Middle-Angriffe ermöglichen, warnte Indiens CERT-In am 21. Oktober. Google, Microsoft, Apple und Mozilla sperrten alle acht Zwischenzertifikate, Cloudflare und andere lieferten Updates. eMudhra hat inzwischen angekündigt, das globale Zertifikatsgeschäft zu verlassen und sich auf digitale Signaturen und Authentifizierung in Indien zu konzentrieren.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
Helsing stellt KI-Plattform Clarity für militärische Analysen vor
Unacademy: Gaurav Munjal gibt CEO-Posten nach upGrad-Deal ab
CERT-In warnt Chrome-Nutzer in Indien: Browser dringend updaten
