Zusammenfassung:
Microsoft hat kürzlich ein Update des Supportdokuments zum Folgebehandlungsplan für den Vorfall mit dem eMudhra-Zertifikat veröffentlicht: Ab dem 16. November 2026 werden Windows-Systeme die verbleibenden 10 eMudhra-Stammzertifikate über den Mechanismus zur automatischen Aktualisierung der Zertifikatsvertrauenswürdigkeit aus der Liste der vertrauenswürdigen Zertifikate entfernen.
Windows-Geräte, die eine Verbindung zum Microsoft-Zertifikataktualisierungsdienst herstellen können, erhalten automatisch Änderungen an der Vertrauensliste der Zertifikate, und der Microsoft Edge-Browser und die WebView2-Runtime vertrauen durch ein Komponentenupdate am 16. November ebenfalls nicht mehr den zugehörigen Stammzertifikaten.
Diese Löschung vertraut dem eMudhra-Stammzertifikat:
Zuvor konnten die acht privaten Schlüssel des Zwischenzertifikats von eMudhra aufgrund von Generierungsfehlern abgeleitet werden, von denen sechs für Website-TLS-Zertifikate und zwei für Codesignaturzertifikate verwendet wurden. Jemand mit diesen privaten Schlüsseln könnte Zertifikate fälschen und sich als Website- oder Softwareherausgeber ausgeben.
Microsoft hat die betroffenen Zwischenzertifikate am 20. Oktober über den Zertifikataktualisierungsmechanismus blockiert, und alle von diesen Zwischenzertifikaten ausgestellten Blattzertifikate werden ebenfalls automatisch blockiert. Am 26. Oktober entfernte Microsoft sieben Stammzertifikate im Zusammenhang mit der relevanten Zertifikatskette aus der Vertrauensliste, darunter sechs eMudhra G3-Stammzertifikate und kreuzsignierte Zertifikate der AAA Certificate Services.
Die Vereinbarung vom 16. November sieht vor, die Verarbeitung der verbleibenden 10 eMudhra-Stammzertifikate fortzusetzen. Microsoft sagte, dass alle Windows-Geräte, die eine Verbindung zu Microsoft-Servern herstellen können, automatisch Änderungen an der Vertrauensliste der Zertifikate empfangen können. Dieser Schritt erfordert nicht, dass Benutzer Updates manuell verarbeiten oder installieren.
Edge und WebView2 werden über Komponentenaktualisierungen verwaltet:
Der Microsoft Edge-Browser und WebView2 Runtime werden am 16. November die Standardvertrauensstellung für verbleibende relevante Stammzertifikate über die PKI-Metadatenkomponente entfernen. Microsoft gibt an, dass das Gerät alle 10 Stunden und auch nach dem Start der App eine Überprüfung durchführt, sodass sowohl der Edge-Browser als auch Apps, die WebView2 verwenden, durch Komponentenaktualisierungen Änderungen an der Zertifikatsvertrauenswürdigkeit erhalten können.
Für Geräte, die längere Zeit offline waren und keine Verbindung zu Microsoft-Servern herstellen können, wird Microsoft in Zukunft ein Offline-Zertifikat-Update-Paket veröffentlichen. Zu diesem Zeitpunkt müssen IT-Administratoren das Zertifikataktualisierungspaket manuell herunterladen und auf den entsprechenden Geräten aktualisieren.
Verwandte Artikel:
eMudhra zieht sich nach schockierendem Skandal aus dem globalen Geschäft mit SSL/TLS-Zertifikaten zurück
Enthusiasten verwenden durchgesickerte eMudhra-Zertifikate, um 106.000 Zertifikate für Google auszustellen, die die CA-Public-Key-Zertifizierung bestehen können
Das indische eMudhra-Unternehmen widerruft acht weitere Zwischenzertifikate, untersucht und stellt weitere Verstöße fest
Kommentare