Utrata poufności kluczy urzędu certyfikacji eMudhra (emSign)

Zespół CERT Polska informuje o utracie poufności kluczy prywatnych urzędów certyfikacji eMudhra (emSign).

Klucze te służyły do wystawiania certyfikatów TLS oraz certyfikatów do podpisywania oprogramowania. Błąd w procesie generowania kluczy umożliwił ich odtworzenie na podstawie publicznie dostępnych certyfikatów.

Atakujący mogą wykorzystać te klucze do wystawiania fałszywych certyfikatów dla dowolnych domen. W połączeniu z przechwyceniem lub przekierowaniem ruchu sieciowego pozwala to na kradzież i modyfikację danych, jeśli aplikacja zaakceptuje taki certyfikat. Atakujący mogą również podpisywać złośliwe oprogramowanie, co może pozwolić na obejście reguł blokujących programy bez zaufanego podpisu. Zagrożenie dotyczy także organizacji, które nie korzystają z usług eMudhra, ale których oprogramowanie ufa tym urzędom.

Certyfikaty zostały unieważnione, a dostawcy głównych przeglądarek wdrożyli w swoich produktach blokady certyfikatów objętych incydentem. Bezpieczeństwo pozostałego oprogramowania zależy natomiast od sposobu przechowywania i aktualizacji magazynów zaufanych certyfikatów oraz weryfikacji statusu unieważnienia. Nadal zagrożone mogą być m.in. kontenery Docker, środowiska aplikacyjne, systemy wbudowane oraz komputery działające offline z nieaktualnymi magazynami zaufanych certyfikatów. Ryzyko dotyczy również oprogramowania, które nie weryfikuje aktualnego statusu unieważnienia certyfikatów za pomocą CRL lub OCSP.

Rekomendujemy:

• aktualizację aplikacji, bibliotek, oprogramowania urządzeń oraz magazynów zaufanych certyfikatów, również w środowiskach offline - w przypadku kontenerów Docker może być konieczna przebudowa obrazu i jego ponowne wdrożenie;

• weryfikację, czy aplikacje odrzucają certyfikaty TLS i podpisy oprogramowania powiązane z urzędami objętymi incydentem, również w łańcuchach prowadzących do certyfikatu Sectigo AAA Certificate Services - usunięcie samego certyfikatu głównego eMudhra może nie wystarczyć;

• wymianę wykorzystywanych w organizacji certyfikatów, które w wyniku incydentu zostały unieważnione lub przestały być uznawane za zaufane.

Listę oprogramowania, dla którego opublikowano już poprawki, oraz adresy testowe służące do weryfikacji poszczególnych aplikacji znajdą Państwo na stronie: https://emudhra.we-have-a-problem.com. Lista poprawek jest tworzona przez społeczność i może być niepełna. Pozytywny wynik testu w przeglądarce nie potwierdza bezpieczeństwa pozostałego oprogramowania.