Utrata poufności kluczy urzędu certyfikacji eMudhra (emSign)
Zespół CERT Polska poinformował o utracie poufności kluczy prywatnych urzędów certyfikacji eMudhra (emSign), co stanowi poważne zagrożenie dla bezpieczeństwa sieciowego.
Utracone klucze służyły do wystawiania certyfikatów TLS oraz certyfikatów do podpisywania oprogramowania. Błąd w procesie generowania kluczy umożliwił ich odtworzenie na podstawie publicznie dostępnych certyfikatów.
Atakujący mogą wykorzystać te klucze do wystawiania fałszywych certyfikatów dla dowolnych domen. W połączeniu z przechwyceniem lub przekierowaniem ruchu sieciowego pozwala to na kradzież i modyfikację danych.
Zakres zagrożenia
Zagrożenie dotyczy także organizacji, które nie korzystają z usług eMudhra, ale których oprogramowanie ufa tym urzędom. Atakujący mogą również podpisywać złośliwe oprogramowanie, co może pozwolić na obejście reguł blokujących programy bez zaufanego podpisu.
Nadal zagrożone mogą być m.in. kontenery Docker, środowiska aplikacyjne, systemy wbudowane oraz komputery działające offline z nieaktualnymi magazynami zaufanych certyfikatów.
Zalecane działania
Certyfikaty zostały unieważnione, a dostawcy głównych przeglądarek wdrożyli blokady. Bezpieczeństwo pozostałego oprogramowania zależy od aktualizacji i weryfikacji certyfikatów.
Rekomendujemy aktualizację aplikacji, bibliotek, oprogramowania urządzeń oraz magazynów zaufanych certyfikatów. W przypadku kontenerów Docker może być konieczna przebudowa obrazu i jego ponowne wdrożenie.
Wymagana jest weryfikacja, czy aplikacje odrzucają certyfikaty powiązane z urzędami objętymi incydentem, oraz wymiana wykorzystywanych certyfikatów, które zostały unieważnione.
Powiązane
