Kompromittierte Wurzelzertifikate: TLS-Vertrauen weltweit erschüttert
Bei der Zertifizierungsstelle eMudhra sind acht Wurzelzertifikate gesperrt worden. Der Grund ist banal und dramatisch zugleich: Die privaten Schlüssel waren trivial einfach zu raten, einer lautete schlicht „4“. Mit solchen Schlüsseln lassen sich gültige TLS-Zertifikate für beliebige Domains ausstellen – einschließlich deutscher Webseiten.
Man-in-the-Middle-Angriffe ohne Warnung
Wer im Besitz der privaten Schlüssel ist, kann TLS-Verbindungen für jede beliebige Domain vortäuschen. Browser und Clients stufen solche Verbindungen als vertrauenswürdig ein, weil die Zertifiktskette bis in die Web-browser hinterlegten Stammzertifikate trägt. Für Betreiber in Deutschland bedeutet das: Angriffen auf Online-Banking, Behördenportale oder Shops wäre technisch der Weg bereitet, ohne dass Nutzende eine Warnung sehen.
Node.js reagiert mit Sicherheitsupdates
Neue Versionen für Node.js 22.x, 24.x und 26.x schließen eigene hochriskante Lücken und schützen zusätzlich vor den kompromittierten eMudhra-Zertifikaten. Admins sollten die Aktualisierungen zeitnah einspielen, denn Node.js läuft hierzulande häufig in Webanwendungen und Automatisierungsskripten.
Was Betreiber jetzt tun sollten
Betroffene Organisationen müssen prüfen, ob sie Zertifikate über die betroffene Zwischenstelle bezogen haben, und diese vorsorglich neu ausstellen lassen. Zusätzlich helfen automatisierte Zertifikatstransparenz-Watchdogs (Certificate Transparency Logs), um ungewöhnliche Ausstellungen für die eigene Domain früh zu erkennen. Langfristig gilt die wichtigste Lehre: Auch hochkomplexe Public-Key-Infrastrukturen scheitern an schwachen Passwörtern.
No responses yet