eMudhra: una falla nelle chiavi mette a rischio browser e crypto-tool
Mozilla, Chrome, Apple e Microsoft hanno rilasciato rapidamente dei blocchi. Le chiavi compromesse di eMudhra possono colpire anche il traffico API di exchange, wallet e bot.
In breve
- Otto chiavi private di eMudhra sono risultate compromesse, permettendo di creare certificati falsi per i siti web.
- Browser e sviluppatori di software hanno rilasciato in fretta fix d’emergenza; Mozilla, Chrome, Apple e Microsoft hanno bloccato i certificati coinvolti.
- I crypto-tool che usano certificati per exchange e wallet sono a rischio, anche se non sono ancora stati segnalati attacchi crypto.
Browser e sviluppatori di software hanno rilasciato fix d’emergenza dopo che otto chiavi private di eMudhra, una certificate authority indiana, sono risultate compromesse. Il caso non riguarda solo la sicurezza del web, ma anche i crypto-tool che comunicano tramite certificati con exchange, wallet e altri servizi.
Cosa è successo esattamente
La segnalazione è arrivata il 17 ottobre dal ricercatore Wayne. Per dimostrare l’errore, ha usato tutte e otto le chiavi compromesse per firmare digitalmente il suo avviso. Secondo la segnalazione, le chiavi potevano essere usate per creare certificati apparentemente validi per i siti web.
È un problema serio, perché browser e altri software si affidano ai certificati digitali per verificare se un sito è davvero quello giusto. Secondo The Register, eMudhra ha emesso più di 60 milioni di certificati. Se la chiave privata di una certificate authority viene esposta o violata, un attaccante può falsificare certificati che sembrano affidabili.
Perché chi usa crypto dovrebbe fare attenzione
Per chi usa crypto, il punto è soprattutto fuori dal browser. Molti bot di exchange, script di trading e backend dei wallet girano su Python, Node o Go e si affidano alla stessa catena di certificati per mantenere sicuro il traffico. Un certificato falso per l’API di un exchange potrebbe in teoria permettere di leggere o modificare il traffico sulla stessa rete.
Finora non sono stati segnalati attacchi crypto né attacchi agli utenti. Mozilla ha avvertito però che gli intercettori di rete con questi certificati falsi possono imitare siti affidabili e quindi leggere o modificare i dati.
Fix rapidi, domande ancora aperte
Mozilla ha preparato un blocco già entro circa tre ore dalla segnalazione. Chrome ha bloccato i certificati lo stesso giorno, Apple ha seguito il 19 ottobre e Microsoft il 20 ottobre. Anche eMudhra ha revocato i certificati coinvolti.
Non è ancora chiaro come siano trapelate esattamente le chiavi. I ricercatori dicono che eMudhra usava chiavi private estremamente deboli, come numeri piccoli invece di forti valori casuali a 384 bit. Scott Helme ha detto di essere riuscito a ricavare le otto chiavi da certificati pubblici in meno di un secondo e che erano visibili già da aprile 2025. Secondo i suoi test, strumenti come curl, Python, Node, Go e Java accettavano un certificato falso per l’API di Stripe, anche se ora sono disponibili correzioni per Go, per il pacchetto certifi di Python e per webpki-roots di Rust. Al momento dell’ultimo controllo, Node.js risultava ancora vulnerabile.
