Hacker News Front Page · Scott Helme ·
Eight Bits of Trust; eMudhra's CA keys cracked in milliseconds
El artículo revela que ocho claves privadas de autoridades intermedias de eMudhra eran valores de un solo byte, por lo que podían recuperarse fácilmente a partir de sus certificados públicos. Aunque los principales navegadores bloquearon los certificados afectados, muchos clientes TLS no comprueban la revocación ni Certificate Transparency de forma predeterminada, lo que deja expuestos sistemas, servicios y dispositivos que no actualicen sus almacenes de certificados. El autor comprobó que varios clientes aceptaban certificados fraudulentos y recomienda actualizar los paquetes de certificados raíz y las imágenes de contenedores, aunque los dispositivos con firmware congelado podrían seguir siendo vulnerables hasta que expiren los certificados.
One of eMudhra's certificate authority private keys is the number 4. Not a number that starts with 4, or the number 4 followed by a few hundred random digits, just, 4... Another one is 56, and another is 115. I know, because I recovered all of them from their public certificates on my laptop just now, and it took less than a second. What happened On Saturday 17th October a security researcher reported to Apple, Google, Microsoft, Mozilla and eMudhra that the private keys for eight eMudhr