Mindestens acht CA-Zertifikate samt privaten Schlüssel sind bei der niederländisch-indischen Zertifizierungsstelle eMudhra kompromittiert. Damit konnten sich Angreifer TLS-Zertifikate für beliebige Domains, etwa q3k.google.com, ausstellen. Die Zertifikate wurden bereits von den großen Browserhersteller gesperrt. Eine Gefahr für Endanwender bestand wohl keine.

Am 17. Oktober wurde dieser Vorfall von einem „Mitglied der Community“ den Browserherstellern Mozilla und Chrome gemeldet. Grund für den Vorfall ist, dass eMudhra für die privaten Schlüssel leicht zu erratende Werte gewählt hatte. Zwischen den Zahlen 0 und 255 liegen alle acht Werte. Somit beträgt die Länge dieser privaten Schlüssel bei jeweils 8 Bit.

Dieser Vorfall wirft ein ungünstiges Licht auf die CA, da eMudhra das private Schlüsselmaterial für gleich acht dieser Zertifikate auf derart unsichere Weise erstellte. In der Regel sind Zertifizierungsstellen aufgrund der strengen „Baseline Requirements“ des CA-Browser Forums (CA/B) zu sehr strengen Sicherheits- und Compliance-Prozessen verpflichtet, um solche Vorfälle zu vermeiden.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE