eMudhra chránila soukromé klíče i heslem 4

Soukromé klíče indického certifikátora eMudhra se dostaly na veřejnost. Zveřejnění se týká osmi podřízených certifikačních autorit a odhalilo nezvykle slabé zabezpečení.

Certifikační autorita vydává digitální certifikáty, podle kterých programy ověřují, s kým komunikují. Podřízené autoritě důvěřují na základě certifikátu od nadřazené autority. Problém jednoho článku tak může zasáhnout více systémů, které tomuto řetězci důvěřují.

Použité klíče byly nezvykle krátké a mezi hesly používanými k jejich ochraně se objevila i samotná číslice 4. Klíče jsou nyní veřejné, takže jejich bezpečnost už nelze stavět na utajení.

Incident se týká osmi podřízených autorit, nikoli jediného izolovaného souboru. Z dostupných podkladů však není zřejmé, které certifikáty jednotlivé autority vydávaly ani které aplikace jim důvěřují.

Vyšší riziko mohou představovat neaktualizované systémy a programy, které ověřují certifikáty mimo webový prohlížeč. Jejich ochranné mechanismy se mohou aktualizovat pomaleji než ochrana běžných prohlížečů. Stav ochrany prohlížeče lze ověřit na testovací stránce zveřejněné spolu s informacemi o incidentu.

Dostupné údaje neobsahují konkrétní seznam dotčených programů, jejich verzí ani údaj o tom, od kdy jsou jednotlivé systémy chráněné. Bez těchto podrobností nelze samotnou přítomnost staršího softwaru automaticky spojovat s incidentem eMudhra.

Podle zveřejněných informací nepředstavují aktuální webové prohlížeče hlavní riziko. Dostupná data nepodporují plošnou výměnu firemních systémů kvůli tomuto incidentu. U programů mimo prohlížeč je však namístě ověřit stav aktualizací a způsob kontroly certifikátů. Bez konkrétního seznamu produktů zatím nelze určit, kde je nutný zásah.