Das Unternehmen eMudhra, eine Zertifizierungsstelle (Certificate Authority), hat seine Entscheidung bekannt gegeben, sich vollständig aus dem globalen Markt für SSL/TLS-Zertifikate zurückzuziehen. Diese Entscheidung folgt nur wenige Tage, nachdem Sicherheitsforscher eine gravierende Schwachstelle in acht von dem Unternehmen ausgestellten Zwischenzertifikaten aufgedeckt hatten. Die kryptografischen Schlüssel waren derart schwach, dass sie innerhalb von Sekundenbruchteilen hätten kompromittiert werden können.
Details zur Sicherheitslücke
Technischen Berichten zufolge hätten die vom Unternehmen ausgestellten ECC-Schlüssel (Elliptic Curve Cryptography) eigentlich ein hohes Komplexitätsniveau (384 Bit) aufweisen müssen. Die entdeckten Schlüssel hatten jedoch eine Stärke von lediglich 3 bis 8 Bit. Dies bedeutet, dass die Anzahl der möglichen Schlüsselkombinationen extrem gering war, was es jeder Partei ermöglichte, vertrauenswürdige Webzertifikate für jede beliebige Website oder jeden E-Mail-Server zu erstellen. Dies stellt eine schwerwiegende Sicherheitsbedrohung für die Internetinfrastruktur dar.
Warum ist diese Nachricht wichtig?
Die Gefahr dieses Vorfalls liegt darin, dass die von eMudhra ausgestellten Zertifikate von großen Browsern und Betriebssystemen als vertrauenswürdig eingestuft wurden. Sobald die Schwachstelle entdeckt wurde, sahen sich die Browserhersteller gezwungen, diese Zertifikate sofort zu sperren. Dennoch bleiben eingebettete Geräte (IoT), Docker-Container und Altsysteme, die keine regelmäßigen Updates erhalten, über lange Zeiträume gefährdet, da sie möglicherweise ihre Listen vertrauenswürdiger Zertifikate nicht aktualisieren können.
Menschliche und technische Fehler bei der „Schlüsselgenerierungszeremonie“
eMudhra erklärte, dass der Fehler während einer „Schlüsselgenerierungszeremonie“ (Key Generation Ceremony) im April 2025 auftrat. Das Unternehmen wies auf einen Softwarefehler hin, der zur Erstellung von zwei Schlüsselsätzen führte: einem starken und einem schwachen Satz. Aufgrund eines menschlichen Fehlers bei der Kennzeichnung wurden die schwachen Schlüssel für die Ausstellung der Zertifikate verwendet und in den Root-Stores veröffentlicht. Das Unternehmen räumte zudem ein, versucht zu haben, Zertifikatssperrlisten (CRL) mit den fehlerhaften Schlüsseln neu zu signieren, nachdem die Signierung mit den ursprünglichen Schlüsseln fehlgeschlagen war, ohne jedoch eine grundlegende Untersuchung der Fehlerursache einzuleiten.
Gründe für den Rückzug
Der Vorstandsvorsitzende des Unternehmens, V. Srinivasan, begründete die Entscheidung zum Rückzug mit den steigenden Kosten für die Einhaltung regulatorischer Vorschriften, der geringen Kapitalrendite aufgrund der Verbreitung kostenloser Zertifikate sowie dem medialen Druck und der intensiven Prüfung nach dem Vorfall, die das Unternehmen als „unverhältnismäßig“ im Vergleich zum Umfang dieser Aktivität in seinem Geschäftsportfolio bezeichnete.