Programmā mitmproxy parādās iespēja --emudhra ar kompromitētu eMudhra sertifikātu ķēdi

Atvērtā koda tīkla trafika pārtveršanas un analīzes rīka mitmproxy izstrādātāji GitHub repozitorijā publicējuši izmaiņu (commit) ar nosaukumu „mitmproxy adds --emudhra option”. Izmaiņa koda bāzē ievieš sertifikātu ķēdi, kuru koda komentārs raksta kā kompromitētu. Tā saistīta ar Indijas sertifikātu izsniedzēju eMudhra, un šī ķēde ir pieejama programmā kā atsevišķa opcija.

Kas pievienots

Faila sākumā ievietota PEM formātā kodēta sertifikātu ķēde. Komentārs apraksto to kā kompromitētu eMudhra starpposma sertifikācijas iestādi „EM OV TLS CA - G3C” un savstarpēji parakstītu saknes sertifikātu „emSign Root TLS CA - G3”. Komentārā norādīta arī piezīme „d=4” un saite uz vietni emudhra.we-have-a-problem.com, kur problēma aprakstīta sīkāk. Ķēdē ir arī privātā atslēga un divi sertifikāti. Avotā nav paskaidrots, kā un kāpēc atslēga kļuva zināma.

Tehniskās izmaiņas kodā

Lai ķēdi varētu izmantot, programmā paplašināti atslēgu tipi. Līdz šim vairākās vietās tika pieņemtas tikai RSA privātās atslēgas. Tagad funkcijas dummy_cert un dummy_crl, klase CertStoreEntry, sertifikātu krātuve CertStore un funkcija load_pem_private_key pieņem arī eliptisko līkņu (EC) atslēgas. Tas nepieciešams tāpēc, ka pievienotā atslēga ir eliptisko līkņu tipa.

Ko tas nozīmē

Sertifikācijas iestādes ir organizācijas, kuru izsniegtajiem sertifikātiem pārlūkprogrammas un citas sistēmas uzticas, pārbaudot vietņu identitāti. Ja starpposma iestādes privātā atslēga ir kļuvusi zināma, ar to var izveidot sertifikātus, kam sistēmas uzticēsies. Šajā gadījumā atslēga ir iekļauta atklātā programmas kodā. Avots neatklāj, vai eMudhra ir reaģējusi uz šo situāciju.