eMudhra: chiavi private con appena 8 bit di sicurezza invece di 384

Otto chiavi private di certificati intermedi eMudhra, pensate per garantire 384 bit di sicurezza secondo lo standard a curva ellittica P-384, sono risultate in realtà numeri interi inferiori a 256. Il margine di sicurezza che dovrebbe rendere una chiave del genere impossibile da indovinare si è ridotto a un singolo byte: al massimo 256 valori da provare. Ecco cosa è successo il 17 ottobre, cosa hanno fatto i browser, e cosa resta da accertare.

Il notaio di internet

Quando apri il sito della tua banca e la connessione risulta protetta (HTTPS), qualcuno sta garantendo che quel sito è davvero quello che dice di essere, e che la password che digiti arriva cifrata. Quel qualcuno è un'autorità di certificazione: emette certificati digitali che Chrome, Firefox, Safari e gli altri browser si fidano a riconoscere, perché quell'autorità è inclusa nei loro «root program» — l'elenco dei notai di cui ci si fida per default. eMudhra è una delle principali autorità di certificazione indiane, e sei dei suoi certificati intermedi sono considerati affidabili dai root program di Chrome, Mozilla, Microsoft e Apple; altri due, usati per firmare software, sono affidabili per Microsoft.

Il timbro di un notaio così dovrebbe essere, letteralmente, impossibile da indovinare: per gli standard usati oggi (curva ellittica P-384) parliamo di una chiave privata scelta a caso tra un numero con 384 cifre binarie di possibilità.

Il 17 ottobre

Il 17 ottobre 2026 un ricercatore ha segnalato a Mozilla (la segnalazione, inoltrata dal Chrome Root Program, è arrivata alle 20:06 UTC) che le chiavi private di otto certificati intermedi eMudhra — sei per TLS, due per la firma del codice — non erano affatto numeri casuali a 384 bit. Erano tutte numeri interi inferiori a 256. In pratica, una chiave pensata per avere 384 bit di libertà si riduceva a un singolo byte: al massimo 256 valori possibili da provare, un attacco a forza bruta che su hardware comune si esaurisce in una manciata di tentativi.

Quelle chiavi erano state generate il 30 aprile 2025 e sono rimaste nei sistemi di eMudhra in quello stato fino alla segnalazione del 17 ottobre 2026, prima che qualcuno se ne accorgesse. Non è ancora chiaro perché: eMudhra ha indicato il processo di generazione nel proprio modulo hardware di sicurezza come punto da esaminare, ma la causa esatta del difetto non è stata accertata.

Lo scenario di attacco: certificato fraudolento e intercettazione

Con appena 256 valori possibili, recuperare una di quelle chiavi private non richiede uno sforzo da stato-nazione: è una ricerca che si esaurisce in pochi tentativi. Chi ha in mano una di quelle chiavi può firmare un certificato che i browser accettano come autentico per qualsiasi dominio — anche quello della tua banca — e usarlo per intercettare il traffico cifrato di chi si collega, ad esempio, a una rete wi-fi pubblica. È lo scenario da manuale del certificato fraudolento. Dal materiale pubblico non risultano abusi documentati: il rischio è stato reale, ma per quanto emerso finora è rimasto teorico.

La reazione

Mozilla ha ricevuto la segnalazione il 17 ottobre alle 20:06 UTC, inoltrata dal Chrome Root Program, e ha ricavato le chiavi anche da sola, in modo indipendente, entro le 21:48 UTC — meno di due ore dopo. Ha poi revocato le chiavi in Firefox (tramite OneCRL) alle 22:59 UTC, meno di tre ore dalla segnalazione. Chrome ha corroborato la scoperta e aggiornato il proprio CRLSet con le sei chiavi del traffico web alle 22:46 UTC dello stesso giorno. Apple ha corroborato la scoperta alle 21:05 UTC e ha chiesto attestazioni aggiuntive a eMudhra. eMudhra ha revocato tutti e otto i certificati coinvolti la mattina dopo, il 18 ottobre. Microsoft, invece, secondo quanto riportato dal ricercatore che ha segnalato il caso, non aveva ancora risposto al 18 ottobre. Dal materiale pubblico disponibile non risultano, a oggi, abusi documentati di queste chiavi. Mozilla e Chrome, i browser con cui naviga la maggior parte delle persone, hanno chiuso la falla dal loro lato in poche ore, non in giorni; per Apple risultano solo la corroborazione e la richiesta di attestazioni aggiuntive.

Non è DigiNotar, ma un campanello lo è comunque

Nel 2011 un'altra autorità di certificazione, l'olandese DigiNotar, perse la fiducia dei browser e chiuse in pochi mesi. Non è lo stesso problema: lì c'era stata un'intrusione con emissione di certificati fraudolenti, qui una chiave generata male. Ma la conseguenza a cui un'autorità di certificazione va incontro quando la fiducia si incrina è la stessa, ed è quella da cui dipende l'intero sistema: se i browser smettono di fidarsi di te, il tuo ruolo di notaio di internet finisce. Il 22 ottobre è stata aperta su Mozilla Bugzilla una richiesta formale per rimuovere i certificati radice eMudhra dai bundle delle CA integrati nei browser (bug 2084865): non è una decisione di sfiducia già presa, ma mostra quanto l'incidente pesi sul piano della conformità ai requisiti dei root program.

La conclusione tecnica è semplice: una chiave con appena 8 bit di sicurezza effettiva, contro i 384 dichiarati dallo standard P-384, non protegge nulla, a prescindere da quale standard dica di rispettare. Per un'autorità di certificazione, la distanza fra la sicurezza dichiarata e quella verificabile è l'unico dato che conta quando la fiducia va dimostrata, non data per assunta.

Fonti

• Mozilla Bugzilla — Bug 2083449 — eMudhra: Private key compromise of Intermediate Certificates (fonte primaria, in inglese).
• Mozilla Bugzilla — Bug 2084865 — Remove eMudhra root certificates from in-tree CA bundles (richiesta aperta, nessuna decisione di distrust, in inglese).