4 reale? Monitoraggio dello sfruttamento e dell’applicazione di aggiornamento correttivo alle chiavi deboli di eMudhra

4 reale? Monitoraggio dello sfruttamento e dell'applicazione di aggiornamento correttivo alle chiavi deboli di eMudhra — Rassegna informativa e sintesi tecnica curata da PCNext sulla base del report documentato da Cloudflare Blog.

Sintesi della Notizia & Quadro dell’Evento

Il 19 ottobre 2026, siamo venuti a conoscenza delle otto chiavi incredibilmente deboli di eMudhra: mentre a eMudhra era stato affidato il compito di scegliere un numero di 115 cifre per il loro lucchetto a combinazione virtuale che proteggeva Internet, hanno scelto il numero 4. Nemmeno quattro cifre, solo il numero 4. Le altre sette chiavi erano altrettanto deboli: 56, 66, 115, 155, 156, 230 e 237.

Il giorno successivo, abbiamo scritto un post sul blog sulle azioni immediate intraprese per mitigare questa perdita e su cosa dovevano fare i clienti per rimanere al sicuro. Ora condividiamo un follow-up più approfondito sulle prove che abbiamo riscontrato di sfruttamento e sui progressi osservati sui visitatori che applicano patch ai loro sistemi.

Dettagli Tecnici & Approfondimento

Cominciamo con la portata del problema. Un'autorità di certificazione (CA) con chiavi deboli così grave non ha precedenti e le potenziali conseguenze sono significative. Anche se in passato ci sono state numerose autorità di certificazione compromesse (come DigiNotar, TÜRKTRUST e TrustWave), l'accesso alle loro chiavi è sempre stato contenuto in una certa misura; questi incidenti hanno dato a un gruppo limitato di aggressori o organizzazioni la possibilità di emettere certificati fraudolenti. L'incidente di eMudhra è fondamentalmente diverso; le chiavi private intermedie interessate potrebbero essere recuperate quasi istantaneamente da chiunque dagli stessi certificati pubblici. Chiunque può recuperare in modo indipendente queste stesse chiavi di firma e creare certificati per qualsiasi dominio che un client senza patch che non applica la trasparenza del certificato accetterebbe.

eMudhra ha annunciato che uscirà dal business della CA pubblica e ha rivendicato un errore in uno script di generazione delle chiavi, ma non ha ancora condiviso lo script. Hanno firmato un elenco di revoche di certificati (CRL) con quella che potrebbe essere stata una chiave generata correttamente e successivamente l'hanno corretta affinché fosse firmata con la chiave debole.

Come è successo e perché non ha fatto scattare l'allarme? C'è molto da chiarire, compreso il ruolo dei revisori dei conti e dei firmatari incrociati. Questo blog propone le soluzioni e i passaggi successivi affinché le organizzazioni possano garantire la loro sicurezza.