Un ricercatore di sicurezza, noto come Wayne, ha scoperto otto certificati TLS intermedi di eMudhra con chiavi private così deboli da consentire a eventuali cybercriminali di trovarle e creare certificati falsi. L’azienda indiana ha revocato i certificati, fornendo maggiori dettagli sull’accaduto. Apple, Google e Microsoft hanno bloccato i certificati. Mozilla ha rilasciato un aggiornamento per Firefox.
Certificati con entropia crittografica debole
Gli otto certificati TLS intermedi sono stati emessi da eMudhra ad aprile 2025. Le relative chiavi private P-384 dovrebbe avere un’entropia di 384 bit, quindi un’elevata casualità (2384 combinazioni). Quelle generate da eMudhra avevano un’entropia compresa tra 3 e 8 bit, quindi una casualità insufficiente (solo 256 combinazioni). Il ricercatore ha infatti trovato facilmente le chiavi con un tool AI. Erano 4, 56, 66, 115, 155, 156, 230 e 237.
eMudhra ha spiegato che queste chiavi private sono state generate dai suoi Hardware Security Module (HSM), insieme a quelle più robuste. Per errore sono state usate quelle deboli per generare i certificati. L’azienda indiana sottolinea che non è stato emesso nessun certificato con le otto chiavi private. Il problema non è stato rilevato in 18 mesi, nonostante due audit indipendenti.
Un cybercriminale avrebbe potuto generare certificati falsi, usarli per impersonare siti web, intercettare e modificare il traffico. Apple, Microsoft e Google hanno bloccato i certificati. Mozilla ha revocato i certificati, quindi gli utenti possono usare Firefox senza rischi. Chi ha bloccato la ricezione dell’elenco aggiornato dei certificati revocati deve installare la versione 158.0.1 del browser (che include anche cinque bug fix).
Molte aziende e gestori di software open source hanno già rilasciato aggiornamenti, ma i rischi ci sono ancora. Gli update per le distribuzioni Linux e i dispositivi IoT o embedded vengono rilasciati piuttosto lentamente. Gli utenti più esperti possono seguire queste istruzioni.
Ti potrebbe interessare
21 ott 2026