coindesk.com
Das Internet bemüht sich intensiv, eine Sicherheitslücke in dem System zu schließen, das Ihrem Browser mitteilt, welche Websites echt sind.
Es begann am 17. Oktober, als ein Forscher Browserhersteller darüber informierte, dass acht geheime Schlüssel bei eMudhra, einem indischen Unternehmen, das Websites beglaubigt, kompromittiert wurden.
Ein Forscher namens Wayne meldete die Sicherheitslücke und um die Verwundbarkeit zu beweisen, verwendete er alle acht kompromittierten Schlüssel, um seine Warnmeldung digital zu signieren: „Wir haben hier ein Problem – Wayne.“
Browser-Hersteller und Softwareentwickler haben seitdem Notfall-Updates veröffentlicht.
Wenn ein Benutzer eine Website besucht, prüft sein Browser ein digitales Zertifikat, um die Echtheit der Seite zu bestätigen. Unternehmen, die als Zertifizierungsstellen bezeichnet werden, stellen diese Zertifikate aus, und eMudhra ist eines davon. Es hat mehr als 60 Millionen Zertifikate ausgestellt, laut Das Register.
Jede Zertifizierungsstelle unterzeichnet ihre Zertifikate mit einem privaten Schlüssel. Man kann sich das wie einen Taufstempel vorstellen. Wenn jemand diesen Stempel stiehlt oder knackt, kann er authentisch aussehende Zertifikate für jede beliebige Website fälschen.
Krypto-Nutzer sollten sich ebenfalls dafür interessieren, hauptsächlich außerhalb des Browsers. Exchange-Bots, Trading-Skripte und Wallet-Backends laufen häufig auf Python, Node oder Go. Ein gefälschtes Zertifikat für die API einer Börse könnte einem Angreifer im selben Netzwerk ermöglichen, den Datenverkehr eines Bots zu lesen oder zu verändern. Bisher wurden keine Krypto-Angriffe oder Angriffe auf Nutzer gemeldet.
CoinDesk kontaktierte eMudhra für eine Stellungnahme.
Mozilla-Browser warnte, dass Netzwerk-Interceptoren könnten diese betrügerischen Zertifikate nutzen, um sich als vertrauenswürdige Seiten auszugeben, was ihnen ermöglicht, die Daten des Nutzers zu lesen oder zu verändern.
Mozilla erhielt den Bericht kurz nach 20:00 Uhr UTC und hatte etwa drei Stunden später eine Sperre eingerichtet. Chrome blockierte die Zertifikate am selben Tag. Apple folgte am 19. Oktober und Microsoft am 20. Oktober. Auch eMudhra hat sie widerrufen.
Wie die Schlüssel entwendet wurden, ist weiterhin unklar.
"Laut Forschern verwendete eMudhra kleine Ganzzahlen wie 4, 56 und 237 als private Schlüssel anstelle starker 384-Bit-Zufallszahlen," Cyber-Sicherheitsnachrichten berichteten auf X.
Der Sicherheitsforscher Scott Helme ging noch einen Schritt weiter.
"Einer der privaten Schlüssel der Zertifizierungsstelle von eMudhra ist die Nummer 4," er schrieb. „Ein weiterer ist 56, und ein anderer ist 115.“
Ein ordnungsgemäßer Schlüssel ist eine große zufällige Zahl, die niemand erraten könnte. Helme erklärt, dass er alle acht Schlüssel innerhalb von weniger als einer Sekunde aus öffentlichen Zertifikaten wiederherstellen konnte und dass die Schlüssel seit April 2025 kompromittiert sind.
