Google, Mozilla a Apple blokují certifikáty indické autority eMudhra

Několik významných technologických subjektů přistoupilo k blokaci certifikátů, které vydala indická certifikační autorita eMudhra. Opatření zavedly společnosti Google, Mozilla a Apple, k nim se přidal také projekt Go a další. Důvodem je podle dostupných informací kompromitace osmi klíčů, s nimiž jsou dotčené certifikáty spojeny.

Jak k kompromitaci osmi klíčů došlo, zatím není známo. Dostupné informace se nezmiňují o tom, zda šlo o technickou chybu, selhání interních postupů, nebo o cílený útok. Příčina tak zůstává nevysvětlená a bude patrně předmětem dalšího šetření ze strany samotné autority i dalších subjektů, které její certifikáty využívají.

Certifikační autority patří k základním prvkům důvěry na internetu. Vydávají digitální certifikáty, jejichž prostřednictvím prohlížeče a operační systémy ověřují, že se uživatel skutečně připojuje k webu, který tvrdí, že je. Pokud se klíč, na němž certifikát stojí, dostane do nepovolaných rukou, může ho útočník zneužít k vydávání falešných certifikátů nebo k napodobování legitimních služeb. Proto bývá reakce na podobné incidenty rychlá a důsledná: dotčené certifikáty se prostě přestanou považovat za důvěryhodné.

Právě to se nyní stalo. Blokace znamená, že certifikáty spojené s kompromitovanými klíči už nebudou v produktech zmíněných společností a projektů akceptovány. Pro koncového uživatele se to může projevit varováním o nedůvěryhodném spojení, případně nemožností se k příslušné službě bezpečně připojit. Zda a jak široký okruh webů či služeb se opatření dotkne, dostupné informace nespecifikují.

Zajímavé je, že na kroku se shodl poměrně široký okruh aktérů. Google, Mozilla a Apple provozují vlastní programy správy kořenových certifikátů, které rozhodují o tom, kterým autoritám jejich prohlížeče a systémy důvěřují. Každý z nich si přitom pravidla nastavuje samostatně, takže společný postup naznačuje, že závažnost problému byla vnímána jednoznačně. K nim se připojil i projekt Go, tedy programovací jazyk, jehož ekosystém s certifikáty rovněž pracuje a který má vlastní mechanismy ověřování.

Společnost eMudhra patří mezi indické certifikační autority a poskytuje digitální podpisy a související služby. Zveřejněné informace se však blíže nevěnují tomu, jaký dopad bude mít incident na její další činnost, ani zda autorita dotčené certifikáty sama zneplatnila. Nejsou k dispozici ani údaje o tom, kolik certifikátů se blokace týká, jen to, že souvisejí s osmi kompromitovanými klíči.

Stejně tak chybí přesné datum události i bližší určení místa, kde ke kompromitaci došlo. Z dostupných podkladů proto nelze určit ani časovou osu incidentu, tedy to, jak dlouho mohly být klíče v ohrožení, než byly odhaleny. Právě délka takového okna bývá u podobných případů klíčová pro posouzení případných škod.

V minulosti se podobné situace u certifikačních autorit opakovaně řešily přísně. Pokud se prokázalo selhání v zabezpečení nebo v dodržování pravidel, výrobci prohlížečů nezřídka přistoupili k omezení nebo úplnému odebrání důvěry. Zda by podobný osud mohl potkat i eMudhru, ze zveřejněných informací nevyplývá a žádné takové rozhodnutí se v nich neuvádí.

Případ ukazuje, jak křehký je systém založený na důvěře v omezený počet organizací, které spravují citlivé kryptografické klíče. Jediná kompromitace může vyvolat řetězovou reakci napříč celým odvětvím. Další vývoj bude záviset na tom, zda se podaří objasnit příčinu a zda autorita předloží přesvědčivé vysvětlení a nápravná opatření. Do té doby zůstávají dotčené certifikáty u zmíněných společností a projektů zablokované.