Tehnološki divovi hitno su blokirali osam međucertifikata izdanih od indijske certifikacijske kuće eMudhra nakon otkrića da je postupak generiranja privatnih ključeva bio ranjiv i dopuštao pogodjenje ključeva. Mozilla je u incident‑izvješću navela da je samostalno vratila privatne ključeve nakon prijave i potvrdila da je proces generiranja bio „pogrešan” i „lako iskoristiv”. Prema Mozilli, napadač koji presretne vezu korisnika mogao bi upotrijebiti lažne certifikate kako bi se predstavio kao legitimna web‑stranica te čitao ili mijenjao podatke razmijenjene tijekom sesije.
Više tvrtki brzo je primijenilo blokade pogođenih certifikata. Tim za Firefox blokade je uveo putem OneCRL istog dana kada je primio dojavu i potom izdao ažuriranja za desktop i Android preglednik. Cloudflare je objavio zakrpe za Cloudflare One, WARP i Tunnel, dok su Google, Apple i Microsoft također primijenili blokade na svojim platformama u sljedećim danima. Mozilla je upozorila da rizik i dalje postoji za aplikacije i sustave koji ne primaju automatske blokade ili ne provjeravaju certifikate kroz prozirnost certifikata (Certificate Transparency).
Dennis Jackson iz Mozille rekao je da nema dokaza da su Chrome, Firefox, Edge ili Safari bili izravno napadnuti tim putem, budući da u zapisima Certificate Transparency nije bilo unosa za sporne međucertifikate od travnja 2025. Međutim, mnogi klijenti izvan ekosustava preglednika ne provode obavezno zapisivanje u te zapise, pa nije isključeno da su takvi sustavi bili izloženi. Incident podsjeća na kompromitiranje CA‑a DigiNotar iz 2011. godine, kada su napadači izradili stotine lažnih certifikata.
ŠTA OVO ZNAČI?
Korisnici većine modernih preglednika i servisa koji su brzo primili ažuriranja zaštićeni su zahvaljujući blokadama. Ipak, sustavi i aplikacije koje ne ažuriraju svoj trust store automatski ili ne provjeravaju prozirnost certifikata i dalje mogu biti ugroženi.
Organizacijama i administratorima sustava preporučuje se da prate obavijesti svojih dobavljača softvera i provjere jesu li njihovi uređaji i servisi primili odgovarajuće blokade ili zakrpe.
Izvor: Cointelegraph · 2026-10-21
Ilustracija: COIN.BA
