Analyse van het eMudhra Certificaat-incident
Het Incident In oktober 2026 is ontdekt dat acht intermediate-certificaten van eMudhra (zes voor TLS en twee voor code-ondertekening) gecompromitteerd waren. De zwakte werd gemeld door een onderzoeker genaamd Wayne en snel bevestigd door Mozilla en Chrome, die overgingen tot het onbetrouwbaar verklaren van de betreffende certificaten.
Technische Oorzaak Het probleem lag bij de generatie van de P384-privésleutels. In plaats van willekeurige getallen, werden sleutels gebruikt die kleiner waren dan 256. Dit maakte de sleutels triviaal te herstellen via het baby-step giant-step algoritme.
Interne Fouten bij eMudhra Volgens het eigen onderzoek van eMudhra ontstond de situatie door:
- Een fout in het Key Generation Ceremony (KGC) script.
- Verwarring in sleutellabels, waardoor zwakke test-sleutels per ongeluk werden gebruikt voor de officiële Certificate Signing Requests (CSR).
Consequenties Naast het intrekken van de certificaten en het uitbrengen van updates door browserleveranciers zoals Mozilla, heeft eMudhra aangekondigd zich vrijwillig terug te trekken uit de wereldwijde SSL/TLS-certificaatmarkt.
eMudhra: Compromis van privésleutels van Intermediate Certificaten
Inleiding
Mozilla bevestigde het rapport om 20:08 UTC, stelde vast dat het bewijs van sleutelcontrole geldig was en startte direct het proces om de certificaten in Firefox via OneCRL onbetrouwbaar te verklaren. Dit proces werd voltooid om 22:59 UTC. eMudhra erkende het rapport om 21:29 UTC en gaf aan het incident te onderzoeken; zij hadden ook Sectigo op de hoogte gesteld, aangezien Sectigo sommige van de getroffen certificaten had gecrossigned.
Mozilla slaagde er onafhankelijk van in om de privésleutels van de getroffen certificaten te herstellen om 21:48 UTC, zonder kennis van de methode die de oorspronkelijke melder gebruikte. Dit bevestigde dat het proces voor sleutelgeneratie gebrekkig was en triviaal te exploiteren.
Getroffen Certificaten
Zes van de getroffen certificaten zijn bedoeld voor TLS en worden vertrouwd door de root-programma's van Chrome, Mozilla, Microsoft en Apple. De overige twee certificaten zijn bedoeld voor code-ondertekening (codesigning) en worden vertrouwd door Microsoft.
TLS Certificaten:
- EM EV TLS CA - G3B (eMudhra BV), CCADB A012304
- SHA-256:
E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838
- Serie:
c7c41efe92d825f05eae841a4a82c1, Issuer: emSign Root TLS CA - G3
- EM OV TLS CA - G3B (eMudhra BV), CCADB A012308
- SHA-256:
98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B
- Serie:
6cada367fb1c100088120ea202d568, Issuer: emSign Root TLS CA - G3
- EM DV TLS CA - G3B (eMudhra BV), CCADB A012302
- SHA-256:
42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493
- Serie:
a4aee678f23362b4c0e460b772f214, Issuer: emSign Root TLS CA - G3
- EM EV TLS CA - G3C (eMudhra Inc), CCADB A012296
- SHA-256:
432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3
- Serie:
8009928a64107601af05fa2f19f109, Issuer: emSign Root TLS CA - G3
- EM OV TLS CA - G3C (eMudhra Inc), CCADB A012300
- SHA-256:
CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F
- Serie:
296926c227a3a1526392b19482a504, Issuer: emSign Root TLS CA - G3
- EM DV TLS CA - G3C (eMudhra Inc), CCADB A012294
- SHA-256:
0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19
- Serie:
588b2e3c2bb8cda13e1a1209254321, Issuer: emSign Root TLS CA - G3
Code Signing Certificaten:
- EM OV CS CA - G3B (eMudhra BV), CCADB A012306
- SHA-256:
9E39DE2881273ACC225A149C72BA3E0F51424963669AB633EE1DC7DF5DB067B4
- Serie:
7818933f8f85b4619a2b35fba83d0a, Issuer: emSign Root CS CA - G3
- EM OV CS CA - G3C (eMudhra Inc), CCADB A012298
- SHA-256:
4B2460A466F95FD40113BCDCCA2CEB29B3B093921DE45474DA7DF48874C630B1
- Serie:
544b7f922c31ae220a4a922916f6e6, Issuer: emSign Root CS CA - G3
Technische Analyse van het Gebrek
De acht getroffen sleutels zijn op 30 april 2025 gegenereerd als onderdeel van een batch van 24 intermediates. Deze batch was verdeeld over drie series (A, B, C), twee primitieven (RSA4096 en P384) en vier doeleinden (DV, OV, EV, CS). De gecompromitteerde sleutels zijn alle P384-sleutels van de B- en C-series.
De fout zat in de oorspronkelijke generatie van de sleutels. P384-privésleutels zijn normaal gesproken willekeurig gekozen gehele getallen tussen 1 en de groepsorde. In dit geval gebruikten alle acht getroffen sleutels getallen kleiner dan 256. Dit betekent dat de privésleutels effectief uit nullen bestonden, op de laatste byte na. Hierdoor konden ze vrijwel onmiddellijk worden hersteld via het baby-step giant-step discrete logaritme-algoritme, of simpelweg door de eerste 256 P384-sleutels te genereren.
Tijdlijn van Gebeurtenissen (UTC)
17 oktober 2026
- 16:00 - Onderzoeker Wayne begint met tests.
- 16:27 - Ontdekking van een zwakte in de EC-sleutels bij een testcorpus van CCADB.
- 18:05 - Rapport inclusief attestaties wordt verzonden naar Apple, Chrome, Microsoft, Mozilla en eMudhra.
- 20:03 - Chrome bevestigt de bevindingen.
- 20:08 - Mozilla bevestigt de geldigheid van het bewijs en start OneCRL-proces.
- 21:28 - eMudhra erkent het probleem en start onderzoek.
- 21:48 - Mozilla herstelt onafhankelijk de sleutels als bewijs van de zwakte.
- 22:59 - OneCRL-proces voltooid; certificaten worden onbetrouwbaar verklaard in Firefox.
18 oktober 2026
- 09:38 - eMudhra markeert de acht getroffen certificaten als ingetrokken (reden:
caCompromise).
Vervolgacties
- 20 oktober - Mozilla brengt een ongeplande update uit voor Firefox Release/ESR om het vertrouwen in de intermediate-certificaten in te trekken.
- Later - Mozilla besluit het vertrouwen in de
emSign ECC Root CA - G3 volledig in te trekken om gebruikers te beschermen die geen gebruik maken van intrekkingsinformatie (revocation information).
- Respons eMudhra - eMudhra bevestigt dat de uitgifte vanuit alle intermediates die naar de G3 root leiden, onmiddellijk wordt gestaakt.
Oorzaak en Analyse van eMudhra
Volgens eMudhra werden de sleutels gegenereerd in hardware (Ultimaco HSM's), die FIPS 140-2 Level 3 compliant zijn. De analyse van eMudhra wees op het volgende:
- Er was sprake van een fout in het KGC-script (Key Generation Ceremony) dat op die specifieke dag werd gebruikt.
- Er was een goedgekeurde afwijking van de normale procedure om een wrap/unwrap-test uit te voeren, aangezien deze sleutels bedoeld waren voor export.
- Een fout in de code zorgde ervoor dat er een tweede paar sleutels werd aangemaakt die zwakker waren.
- Door verwarring in de sleutellabels werden deze zwakke sleutels per ongeluk gebruikt voor de CSR (Certificate Signing Request), die vervolgens door de root werd ondertekend.
- Deze zwakke CSR's werden ook naar Sectigo gestuurd voor cross-signing.
De RSA-issuers en de A/A-1 series (gegenereerd in Entrust HSM's) zijn volgens eMudhra niet getroffen door dit probleem.
Gerelateerde Incidenten en Overige Problemen
Er is een verband met Bug 1970728, waarbij eMudhra CRL's (Certificate Revocation Lists) genereerde voor de zes getroffen TLS-intermediates met ongeldige handtekeningen. Het blijkt dat de CRL's oorspronkelijk waren ondertekend met de correcte (sterke) privésleutels, maar omdat dit resulteerde in ongeldige handtekeningen (omdat de certificaten zelf op de zwakke sleutels waren gebaseerd), zijn ze later herondertekend met de zwakke sleutels.
Daarnaast werd op 14 oktober 2026 een CRL gepubliceerd voor emSign Root TLS CA - G1 met een ongeldige cryptografische handtekening. Onderzoek wees uit dat deze CRL was ondertekend met een privésleutel behorend bij een OCSP-certificaat, in plaats van de juiste CA-sleutel.
Huidige Status
eMudhra heeft aangekondigd vrijwillig terug te trekken uit de wereldwijde SSL/TLS-certificaatmarkt. Zij werken aan de migratie van getroffen abonnees naar alternatieve hiërarchieën (zoals de RSA-gebaseerde emSign Root CA - G1).
Mozilla en Chrome blijven aandringen op volledige transparantie over de exacte aard van de codefout en de redenen waarom eerdere audits en controles dit gebrek niet hebben opgemerkt.
eMudhra: Compromis van privésleutels van Intermediate Certificaten
Inleiding
Mozilla bevestigde het rapport om 20:08 UTC, stelde vast dat het bewijs van sleutelcontrole geldig was en startte direct het proces om de certificaten in Firefox via OneCRL onbetrouwbaar te verklaren. Dit proces werd voltooid om 22:59 UTC. eMudhra erkende het rapport om 21:29 UTC en gaf aan het incident te onderzoeken; zij hadden ook Sectigo op de hoogte gesteld, aangezien Sectigo sommige van de getroffen certificaten had gecrossigned.
Mozilla slaagde er onafhankelijk van in om de privésleutels van de getroffen certificaten te herstellen om 21:48 UTC, zonder kennis van de methode die de oorspronkelijke melder gebruikte. Dit bevestigde dat het proces voor sleutelgeneratie gebrekkig was en triviaal te exploiteren.
Getroffen Certificaten
Zes van de getroffen certificaten zijn bedoeld voor TLS en worden vertrouwd door de root-programma's van Chrome, Mozilla, Microsoft en Apple. De overige twee certificaten zijn bedoeld voor code-ondertekening (codesigning) en worden vertrouwd door Microsoft.
TLS Certificaten:
- EM EV TLS CA - G3B (eMudhra BV), CCADB A012304
- SHA-256:
E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838
- Serie:
c7c41efe92d825f05eae841a4a82c1, Issuer: emSign Root TLS CA - G3
- EM OV TLS CA - G3B (eMudhra BV), CCADB A012308
- SHA-256:
98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B
- Serie:
6cada367fb1c100088120ea202d568, Issuer: emSign Root TLS CA - G3
- EM DV TLS CA - G3B (eMudhra BV), CCADB A012302
- SHA-256:
42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493
- Serie:
a4aee678f23362b4c0e460b772f214, Issuer: emSign Root TLS CA - G3
- EM EV TLS CA - G3C (eMudhra Inc), CCADB A012296
- SHA-256:
432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3
- Serie:
8009928a64107601af05fa2f19f109, Issuer: emSign Root TLS CA - G3
- EM OV TLS CA - G3C (eMudhra Inc), CCADB A012300
- SHA-256:
CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F
- Serie:
296926c227a3a1526392b19482a504, Issuer: emSign Root TLS CA - G3
- EM DV TLS CA - G3C (eMudhra Inc), CCADB A012294
- SHA-256:
0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19
- Serie:
588b2e3c2bb8cda13e1a1209254321, Issuer: emSign Root TLS CA - G3
Code Signing Certificaten:
- EM OV CS CA - G3B (eMudhra BV), CCADB A012306
- SHA-256:
9E39DE2881273ACC225A149C72BA3E0F51424963669AB633EE1DC7DF5DB067B4
- Serie:
7818933f8f85b4619a2b35fba83d0a, Issuer: emSign Root CS CA - G3
- EM OV CS CA - G3C (eMudhra Inc), CCADB A012298
- SHA-256:
4B2460A466F95FD40113BCDCCA2CEB29B3B093921DE45474DA7DF48874C630B1
- Serie:
544b7f922c31ae220a4a922916f6e6, Issuer: emSign Root CS CA - G3
Technische Analyse van het Gebrek
De acht getroffen sleutels zijn op 30 april 2025 gegenereerd als onderdeel van een batch van 24 intermediates. Deze batch was verdeeld over drie series (A, B, C), twee primitieven (RSA4096 en P384) en vier doeleinden (DV, OV, EV, CS). De gecompromitteerde sleutels zijn alle P384-sleutels van de B- en C-series.
De fout zat in de oorspronkelijke generatie van de sleutels. P384-privésleutels zijn normaal gesproken willekeurig gekozen gehele getallen tussen 1 en de groepsorde. In dit geval gebruikten alle acht getroffen sleutels getallen kleiner dan 256. Dit betekent dat de privésleutels effectief uit nullen bestonden, op de laatste byte na. Hierdoor konden ze vrijwel onmiddellijk worden hersteld via het baby-step giant-step discrete logaritme-algoritme, of simpelweg door de eerste 256 P384-sleutels te genereren.
Tijdlijn van Gebeurtenissen (UTC)
17 oktober 2026
- 16:00 - Onderzoeker Wayne begint met tests.
- 16:27 - Ontdekking van een zwakte in de EC-sleutels bij een testcorpus van CCADB.
- 18:05 - Rapport inclusief attestaties wordt verzonden naar Apple, Chrome, Microsoft, Mozilla en eMudhra.
- 20:03 - Chrome bevestigt de bevindingen.
- 20:08 - Mozilla bevestigt de geldigheid van het bewijs en start OneCRL-proces.
- 21:28 - eMudhra erkent het probleem en start onderzoek.
- 21:48 - Mozilla herstelt onafhankelijk de sleutels als bewijs van de zwakte.
- 22:59 - OneCRL-proces voltooid; certificaten worden onbetrouwbaar verklaard in Firefox.
18 oktober 2026
- 09:38 - eMudhra markeert de acht getroffen certificaten als ingetrokken (reden:
caCompromise).
Vervolgacties
- 20 oktober - Mozilla brengt een ongeplande update uit voor Firefox Release/ESR om het vertrouwen in de intermediate-certificaten in te trekken.
- Later - Mozilla besluit het vertrouwen in de
emSign ECC Root CA - G3 volledig in te trekken om gebruikers te beschermen die geen gebruik maken van intrekkingsinformatie (revocation information).
- Respons eMudhra - eMudhra bevestigt dat de uitgifte vanuit alle intermediates die naar de G3 root leiden, onmiddellijk wordt gestaakt.
Oorzaak en Analyse van eMudhra
Volgens eMudhra werden de sleutels gegenereerd in hardware (Ultimaco HSM's), die FIPS 140-2 Level 3 compliant zijn. De analyse van eMudhra wees op het volgende:
- Er was sprake van een fout in het KGC-script (Key Generation Ceremony) dat op die specifieke dag werd gebruikt.
- Er was een goedgekeurde afwijking van de normale procedure om een wrap/unwrap-test uit te voeren, aangezien deze sleutels bedoeld waren voor export.
- Een fout in de code zorgde ervoor dat er een tweede paar sleutels werd aangemaakt die zwakker waren.
- Door verwarring in de sleutellabels werden deze zwakke sleutels per ongeluk gebruikt voor de CSR (Certificate Signing Request), die vervolgens door de root werd ondertekend.
- Deze zwakke CSR's werden ook naar Sectigo gestuurd voor cross-signing.
De RSA-issuers en de A/A-1 series (gegenereerd in Entrust HSM's) zijn volgens eMudhra niet getroffen door dit probleem.
Gerelateerde Incidenten en Overige Problemen
Er is een verband met Bug 1970728, waarbij eMudhra CRL's (Certificate Revocation Lists) genereerde voor de zes getroffen TLS-intermediates met ongeldige handtekeningen. Het blijkt dat de CRL's oorspronkelijk waren ondertekend met de correcte (sterke) privésleutels, maar omdat dit resulteerde in ongeldige handtekeningen (omdat de certificaten zelf op de zwakke sleutels waren gebaseerd), zijn ze later herondertekend met de zwakke sleutels.
Daarnaast werd op 14 oktober 2026 een CRL gepubliceerd voor emSign Root TLS CA - G1 met een ongeldige cryptografische handtekening. Onderzoek wees uit dat deze CRL was ondertekend met een privésleutel behorend bij een OCSP-certificaat, in plaats van de juiste CA-sleutel.
Huidige Status
eMudhra heeft aangekondigd vrijwillig terug te trekken uit de wereldwijde SSL/TLS-certificaatmarkt. Zij werken aan de migratie van getroffen abonnees naar alternatieve hiërarchieën (zoals de RSA-gebaseerde emSign Root CA - G1).
Mozilla en Chrome blijven aandringen op volledige transparantie over de exacte aard van de codefout en de redenen waarom eerdere audits en controles dit gebrek niet hebben opgemerkt.
Groetjes,