WORLDTECHApple sperrt eMudhra-Webzertifikate in Safari und Mail wegen schwacher Schlüssel
Apple blockiert seit dem 19. Oktober Webzertifikate des indischen Unternehmens eMudhra. Auslöser war der Fund eines Sicherheitsforschers, wonach die privaten Schlüssel hinter acht Zwischenzertifikaten der Zertifizierungsstelle schwach sind. Nach Apples Angaben müssen die meisten Gerätebesitzer nicht handeln.
Was der Forscher aufdeckte
Anfang dieses Monats stellte ein Sicherheitsforscher fest, dass die privaten kryptografischen Schlüssel zu acht Zwischenzertifikaten der Zertifizierungsstelle von eMudhra schwach sind. Auf diese Schlüssel stützt sich die Prüfung verschlüsselter Verbindungen.
Bislang gibt es keinen Hinweis darauf, dass jemand die Schwachstelle für böswillige Zwecke ausgenutzt hat.
Apples Sperre in Safari und Mail
In einem Support-Dokument erklärt Apple, seit dem 19. Oktober kompromittierte TLS-Zertifikate von eMudhra zu blockieren. TLS ist die Verschlüsselung, die eine Verbindung zu einer Website absichert. Die Sperre gilt in Safari, in Mail und in Apps, die Apples Netzwerk- und Sicherheitsframeworks nutzen.
Die Sperre greift automatisch und erfordert kein Software-Update, sodass Besitzer von Apple-Geräten in der Regel nichts installieren oder ändern müssen.
Warum die Schlüssel gefährlich sind
Mit den kompromittierten Schlüsseln hätten Angreifer sich als legitime Websites ausgeben können, wodurch sensible Nutzerdaten gefährdet sein könnten. Den Zertifikaten von eMudhra vertrauten bisher alle großen Browser, darunter Safari, Chrome, Edge und Firefox. Die Unternehmen hinter diesen Browsern haben inzwischen Maßnahmen zum Schutz der Nutzer ergriffen.
Offene Fragen
- Werden die Hersteller der anderen Browser eigene Sperren für die Zertifikate von eMudhra veröffentlichen?
- Sind durch die schwachen Schlüssel bereits Websites oder Nutzer betroffen gewesen?