Major Browsers Block eMudhra Certificates After Weak Key Exposure
Oktober 20, 2026Mozilla, Google und Apple haben am 21. Oktober 2026 die Sperrung kompromittierter Zertifikate der indischen Zertifizierungsstelle eMudhra angekündigt. Die Maßnahme erfolgt, nachdem Sicherheitsforscher festgestellt hatten, dass die privaten Schlüssel von acht zwischengeschalteten Zertifikaten so schwach waren, dass sie praktisch sofort erraten oder wiederhergestellt werden konnten. Durch diese Lücke war es Angreifern möglich, vertrauenswürdige TLS-Zertifikate für legitime Websites zu fälschen, was zu Man-in-the-Middle-Angriffen führen kann.
Die Schwachstelle liegt in der mangelhaften Generierung der kryptografischen Schlüssel. Wie die Quelle heise.de berichtet, waren die privaten Schlüssel "trivial einfach zu raten". Als konkretes Beispiel wird genannt, dass einer der Schlüssel schlicht "4" lautete. Mit diesen kompromittierten Schlüsseln konnten Angreifer "gültige TLS-Zertifikate für beliebige Domains ausstellen". Dies untergräbt das Vertrauen in die digitale Infrastruktur, da Browser und Betriebssysteme diese Zertifikate als sicher einstufen würden, obwohl sie von Angreifern kontrolliert werden.
Die betroffenen Zertifizierungsstellen haben die kompromittierten Zertifikate bereits widerrufen. Für Unternehmen und Nutzer bedeutet dies, dass die betroffenen Zertifikate in den Zertifikatslisten der großen Plattformen als ungültig markiert sind. Administratoren sollten prüfen, ob in ihrer Infrastruktur Zertifikate von eMudhra im Einsatz sind, die vor der Sperrung ausgestellt wurden. Da die Schlüssel erraten werden konnten, ist davon auszugehen, dass alle mit diesen Schlüsseln signierten Zertifikate als kompromittiert gelten und durch neue, sicher generierte Zertifikate ersetzt werden müssen.
