eMudhra und PHP sind nicht allein, die letzten 24 Stunden waren ein absolutes Chaos für das Internet.
Die jüngsten Störungen bei der Cybersicherheit haben sich auf die globale digitale Infrastruktur ausgewirkt, was durch kritische Schwachstellen in der Programmiersprache PHP und schwache Sicherheitspraktiken der indischen Zertifizierungsbehörde eMudhra hervorgehoben wurde. Die PHP Foundation veröffentlichte einen dringenden Patch für zwei Schwachstellen, die als PHP2Shell bekannt sind und einen unauthentifizierten Zugriff auf Webserver ermöglichen. Diese Schwachstellen, die von einem KI-Modell entdeckt wurden, betreffen laut W3Tech etwa 70% der Websites. Als Reaktion darauf empfahlen die US-amerikanische National Security Agency und das FBI Organisationen, sofort Updates anzuwenden oder Systeme offline zu stellen, was in Ländern wie Finnland und den Niederlanden zur Vorsichtsmaßnahme führte, dass Regierungswebsites geschlossen wurden. Gleichzeitig wurde festgestellt, dass eMudhra private Ein-Byte-Schlüssel für die Ausstellung digitaler Zertifikate verwendet, eine schwere Schwäche, die es einem Forscher ermöglichte, die Schlüssel schnell wiederherzustellen und betrügerische Zertifikate zu erstellen. Diese Vorfälle ereigneten sich während des Cybersecurity Awareness Month und veranlassten eine breite Aufmerksamkeit auf die Risiken, die durch veraltete Software und unzureichende kryptografische Standards entstehen.
The Union government has ordered a special team to investigate a critical security failure at eMudhra Ltd, a Bengaluru-based certificate authority trusted by major global browsers. The probe follows the discovery that eight intermediate security certificates issued by the company contained private keys so weak that they could be recovered in less than a second. Google, Mozilla, Apple, and Microsoft have blocked the affected certificates, while security experts warn that cleaning up the fallout will be a lengthy and difficult process due to outdated software and hardware still relying on the compromised trust chain. The vulnerability stems from a key generation ceremony held on April 30, 2025. Private keys for these certificates were intended to be random numbers approximately 116 digits long, providing 384 bits of cryptographic strength. Instead, the keys were single-byte integers ranging from 1 to 256. Specifically, the eight compromised keys were identified as 4, 56, 66, 115, 155, 156, 230, and 237. Because a single byte offers only 256 possible values, researchers were able to brute-force the keys almost instantly. A security researcher known as Wayne alerted industry peers to the flaw on October 17. To demonstrate the severity, Wayne established a website titled emudhra.we-have-a-problem.com and posted a digitally signed message stating, "We have a problem here - Wayne." This proof of concept showed that anyone possessing these keys could forge trusted certificates for any website, allowing attackers to impersonate legitimate servers, intercept data, or steal credentials. E-Mudhra, a listed company acting as a Certificate Authority, stated in a Wednesday announcement that a flaw in the Key Generation Ceremony caused a wrap/unwrap step to produce a second set of weak keys alongside the original strong ones. The company clarified that the weak keys were the ones published to browser root stores. E-Mudhra asserted that its core infrastructure was not compromised and that no data was breached. It noted that its Indian digital signature and eSign businesses operate on separate infrastructure and remain unaffected. The company further stated that none of the affected intermediate certificate authorities had issued end-entity certificates for specific websites, a claim corroborated by public Certificate Transparency records. However, E-Mudhra admitted that one of the eight affected certificates had been deployed in production, though it did not identify which one. The Ministry of Electronics and Information Technology (MeitY) said it had taken serious note of the incident and formed a dedicated team to investigate. The ministry characterized the impact on Indian websites and applications as very limited and short-lived. It also criticized certain social media accounts for fear-mongering regarding the breach. This assessment contrasts sharply with the advisory issued by the Indian Computer Emergency Response Team (CERT-In) later that same day. CERT-In described the keys as having insufficient cryptographic randomness and warned that attackers could use them to intercept or alter communications, potentially leading to credential theft, unauthorized disclosure of sensitive information, and financial fraud. The agency urged government departments, internet service providers, software vendors, and website administrators to update their systems and trusted certificate lists immediately. CERT-In explicitly instructed users not to bypass certificate validation warnings or disable certificate verification. Global responses to the incident were swift. By late morning Tuesday, Apple, Google, and Mozilla had blocked the compromised certificates in Safari, Chrome, and Firefox respectively. Cloudflare deployed emergency fixes across its network and its 1.1.1.1 WARP application. Maintainers of the Go programming language released urgent updates to versions 1.27.3 and 1.26.10 to reject the compromised keys. Dennis Jackson, involved in Mozilla's response, described the eMudhra keys as trivial to exploit, noting that six of the impacted certificates were for TLS and trusted by the Chrome, Mozilla, Microsoft, and Apple root programs. Ben Cartwright-Cox, director of BGP.tools, called the situation bonkers, suggesting it was likely example code that accidentally leaked into production. Security experts expressed deep concern over the long-term implications. Filippo Valsorda, an engineer for the Go language, warned that the cleanup effort could rival or exceed the scale of the 2014 Heartbleed bug. He noted that while browsers can be updated quickly, patching forgotten Linux machines, smart home Internet of Things devices, and background server tools will take considerable time. Yash Kakadia, founder of the Security Brigade cybersecurity firm, highlighted that the impact extends to IoT devices that are not frequently patched. Mozilla's incident report stated that the incident enables even technically unsophisticated individuals to easily recover the private keys, posing a high-impact threat to the global internet's chain of trust. Several Indian government websites, including those operated by the Unique Identification Authority of India (UIDAI) for Aadhaar and the income tax filing portal, utilize eMudhra certificates or related technology. Historically, global browsers have been cautious about trusting Indian root certificate authorities following rogue certificates issued in 2014 by the National Informatics Centre. E-Mudhra remains the sole Indian root certificate authority currently trusted globally. There is no indication that E-Mudhra's root certificates themselves, which sit above the compromised tier, have been breached. As of the latest reports, transparency logs show no evidence that the weak keys were used to issue malicious certificates, although this does not conclusively rule out misuse outside of browser-visible certificate issuance. An attack utilizing these certificates would require an adversary-in-the-middle position, such as controlling a local Wi-Fi network. Users are advised to ensure their web browsers, operating systems, and security applications are updated to the latest versions.
Zu den Primärquellen (1)
Die offiziellen Quellen, auf denen die Berichterstattung beruht. Lies sie direkt, um Framing zu umgehen.
Acht private kryptografische Schlüssel, die von eMudhra Ltd., einem in Bengaluru ansässigen Unternehmen für digitale Sicherheit, verwendet wurden, wurden durchgesickert, was erhebliche Bedenken hinsichtlich der Websicherheit aufwirft. Diese Schlüssel werden verwendet, um SSL/TLS-Zertifikate auszustellen, die für die Sicherung der Online-Kommunikation unerlässlich sind. Die Schlüssel hatten eine kritische Schwachstelle: Sie verwendeten Zahlen zwischen 1 und 256 anstelle der erforderlichen 384-Bit-Verschlüsselung, was sie extrem leicht zu erraten machte. Große Browserunternehmen wie Google (Chrome), Mozilla, Microsoft und Apple wurden alarmiert und unternahmen Schritte, um das Vertrauen in die kompromittierten Zertifikate zu widerrufen. eMudhra erklärte, dass nur eines der betroffenen Zwischenzertifikate aktiv genutzt wurde und keine Endbenutzerzertifikate mit den fehlerhaften Schlüsseln ausgestellt wurden. Experten warnen jedoch davor, dass IoT-Geräte, die oft schwer zu aktualisieren sind, immer noch anfällig sein könnten.
Tendenz-Einschätzung (Mitte): Der Artikel beschreibt eine technische Sicherheitslücke, an der ein privates Unternehmen beteiligt ist, dessen Produkte von Regierungsstellen und Einheiten des öffentlichen Sektors genutzt werden. Obwohl der Vorfall nationale Auswirkungen hat, konzentriert sich der Artikel weiterhin auf die technischen Aspekte der Sicherheitsanfälligkeit, die Reaktion von eMudhra und die Beiträge von Experten.
Warum Faktentreue (95): The article provides specific details about the leaked keys including the number of keys (eight), the company involved (eMudhra Ltd.), and the nature of the vulnerability (keys being between 1 and 256 instead of 384-bit). These facts align with the cross-source consensus and appear well-supported.
Warum Objektivität (90): The article presents the information in a largely neutral manner, focusing on technical aspects and quoting experts like Dennis Jackson from Mozilla. It avoids overtly biased language but does include some descriptive terms like 'extraordinary development' and 'glaring flaw,' which slightly lean tow
India TodayUnabhängigMitteFaktentreue 95Objektivität 90
Eine kritische Sicherheitslücke wurde in acht digitalen Zertifikaten entdeckt, die von der indischen Zertifizierungsstelle eMudhra ausgestellt wurden. Diese Zertifikate enthielten extrem schwache Verschlüsselungsschlüssel im Bereich von 3 bis 8 Bit, die weit weniger sicher sind als Standard-384 Bit Schlüssel. Ein Sicherheitsforscher namens Wayne demonstrierte die Schwäche, indem er eine Website erstellte, die eine digital signierte Nachricht verwendete, um die Schwachstelle hervorzuheben. Experten warnen, dass diese Schwachstelle Angreifern erlauben könnte, vertrauenswürdige Zertifikate zu fälschen, wodurch potenziell Benutzerdaten gefährdet werden könnten. Große Technologieunternehmen wie Apple, Google und Mozilla blockierten die kompromittierten Zertifikate schnell, während Kryptographie-Experten ihre Besorgnis über die umfangreiche Bereinigung äußerten, die sie mit dem Heartbleed-Bug von 2014 vergleichen. Obwohl noch keine böswillige Nutzung bestätigt wurde, besteht das Risiko aufgrund der Möglichkeit der Ausnutzung durch Man-in-the-Middle-Angriffe.
Tendenz-Einschätzung (Mitte): Der Artikel konzentriert sich auf ein technisches Cybersicherheitsproblem, das Verschlüsselungsstandards beinhaltet, und beschäftigt sich nicht mit politischen Debatten, Richtlinien oder Zahlen. Es bietet eine ausgewogene Erklärung der Verwundbarkeit, der Reaktionen der Experten und der Bemühungen zur Abmilderung ohne offensichtliche ideologische Rahmenbedingungen.
Warum Faktentreue (95): The article accurately describes the discovery of weak cryptographic keys used by eMudhra, citing the specific bit sizes (3–8 bits) and referencing the researcher 'Wayne' who demonstrated the vulnerability. The comparison to the Heartbleed bug is reasonable given the potential scale of the issue. Ho
Warum Objektivität (90): The article maintains a largely neutral tone, presenting facts and expert reactions without overt bias. The term 'shockingly weak' introduces some subjective language but does not strongly influence the overall neutrality. The description of the situation as 'bonkers' is a direct quote from Ben Cart
India TodayUnabhängigMitteFaktentreue 95Objektivität 85
Ein indisches Cybersicherheitsunternehmen namens eMudhra steht vor erheblicher Überprüfung, nachdem acht von ihm ausgestellte digitale Zertifikate extrem schwache private Schlüssel enthielten. Diese Schwachstellen ermöglichten es Angreifern, die Schlüssel in weniger als einer Sekunde wiederherzustellen, was ihnen möglicherweise erlaubte, gefälschte Sicherheitszertifikate zu fälschen und legitime Server zu imitieren. Große Technologieunternehmen wie Apple, Google, Microsoft und Mozilla haben Schritte unternommen, um die betroffenen Zertifikate zu blockieren, während Plattformen wie Cloudflare Sicherheitspatches implementiert haben. Obwohl noch keine Angriffe bestätigt wurden, hat der Vorfall Bedenken darüber geweckt, wie eine so grundlegende Sicherheitslücke übersehen wurde und wie lange es dauern könnte, das Problem weltweit vollständig zu lösen. eMudhra arbeitet als Zertifizierungsstelle und gibt digitale Zertifikate aus, die Browsern helfen, die Authentizität von Websites zu überprüfen, was seine Rolle für die Internetsicherheit entscheidend macht.
Tendenz-Einschätzung (Mitte): Der Artikel konzentriert sich auf ein technisches Cybersicherheitsproblem, das ein privates Unternehmen und dessen digitale Zertifikatsschwachstellen betrifft. Politische Persönlichkeiten, Politik oder parteiische Perspektiven werden nicht erwähnt. Der Inhalt konzentriert sich weiterhin auf die technischen Aspekte der Schwachstelle und ihre Auswirkungen auf die
Warum Faktentreue (95): Accurately reports the compromise of eight keys, the involvement of major tech companies, and the lack of evidence for active exploitation. The claim that keys could be recovered in 'less than a second' aligns with the primary source's description of the flaw being 'trivial to exploit.'
Warum Objektivität (85): Uses slightly dramatic phrasing like 'internet security scare' and 'meltdown,' but remains largely informative and balanced in explaining the technical context.
Die in Bengaluru ansässige eMudhra Ltd., eine von den großen weltweiten Browsern vertrauenswürdige Zertifizierungsstelle, erzeugte schwache kryptografische Schlüssel für acht Sicherheitszertifikate aufgrund eines Fehlers in ihrem Schlüsselgenerierungsprozess. Dieser Fehler ermöglichte es jedem, die geheimen Schlüssel innerhalb von Sekunden zu erhalten, wodurch die Ausgabe von betrügerischen digitalen Identitäten für jede Website, einschließlich Banken und Regierungsportale, ermöglicht wurde. Große Technologieunternehmen wie Google, Mozilla, Apple und Microsoft haben die betroffenen Zertifikate widerrufen, um Risiken abzumildern. Das indische Ministerium für Elektronik und Informationstechnologie (MeitY) hat ein spezielles Team eingesetzt, um den Vorfall zu untersuchen. Sicherheitsexperten warnen davor, dass die Bereinigung komplex und langwierig sein wird, was sich insbesondere auf veraltete Systeme wie Router und Zahlungsterminals auswirkt, die selten aktualisiert werden.
Tendenz-Einschätzung (Mitte): Der Artikel verfolgt einen neutralen, auf Fakten basierenden Ton in Bezug auf einen erheblichen Cybersicherheitsbruch, an dem eine nationale Einheit und die Regierung beteiligt sind. Während der Gegenstand der Berichterstattung staatliche Regulierung und Unternehmensverantwortung umfasst, werden in der Berichterstattung technische Erklärungen, Unternehmenserklärungen und
Warum Faktentreue (95): Accurately states the government investigation, the blocking of certificates, and the specific example of a key being the number 4. Correctly notes the lack of evidence for misuse.
Warum Objektivität (80): Uses strong descriptors like 'so poorly' and 'flimsy,' and quotes experts expressing alarm. While factually grounded, the tone leans towards emphasizing the severity and negative implications more than a purely neutral summary would.
India TodayUnabhängigMitteFaktentreue 15Objektivität 40
Die jüngsten Störungen bei der Cybersicherheit haben sich auf die globale digitale Infrastruktur ausgewirkt, was durch kritische Schwachstellen in der Programmiersprache PHP und schwache Sicherheitspraktiken der indischen Zertifizierungsbehörde eMudhra hervorgehoben wurde. Die PHP Foundation veröffentlichte einen dringenden Patch für zwei Schwachstellen, die als PHP2Shell bekannt sind und einen unauthentifizierten Zugriff auf Webserver ermöglichen. Diese Schwachstellen, die von einem KI-Modell entdeckt wurden, betreffen laut W3Tech etwa 70% der Websites. Als Reaktion darauf empfahlen die US-amerikanische National Security Agency und das FBI Organisationen, sofort Updates anzuwenden oder Systeme offline zu stellen, was in Ländern wie Finnland und den Niederlanden zur Vorsichtsmaßnahme führte, dass Regierungswebsites geschlossen wurden. Gleichzeitig wurde festgestellt, dass eMudhra private Ein-Byte-Schlüssel für die Ausstellung digitaler Zertifikate verwendet, eine schwere Schwäche, die es einem Forscher ermöglichte, die Schlüssel schnell wiederherzustellen und betrügerische Zertifikate zu erstellen. Diese Vorfälle ereigneten sich während des Cybersecurity Awareness Month und veranlassten eine breite Aufmerksamkeit auf die Risiken, die durch veraltete Software und unzureichende kryptografische Standards entstehen.
Tendenz-Einschätzung (Mitte): Der Artikel berichtet über technische Cybersicherheitsvorfälle mit Software-Schwachstellen und Sicherheitsfehlern bei Unternehmen. Während Regierungsbehörden wie die NSA und das FBI in Bezug auf Beratungen erwähnt werden, ist das Kernthema technologische Infrastruktur und Sicherheitsprotokolle und nicht parteiisch
Warum Faktentreue (15): The article fails to accurately represent the primary source document. It conflates the eMudhra incident with unrelated events (like the PHP vulnerability) into a single 'chaos' narrative, diluting the specific facts of the eMudhra breach. Crucially, it omits the core technical details provided in t
Warum Objektivität (40): The tone is sensationalist and alarmist, using phrases like 'absolute chaos,' 'sit up and notice,' and 'what in the world is going on?' This creates a sense of panic rather than providing a neutral report. By grouping multiple distinct security incidents together under a headline of 'chaos,' the art
Wie jede Seite berichtete
Dasselbe Ereignis, gruppiert nach der politischen Ausrichtung der berichtenden Medien.
progressiv
Mitte
konservativ
★
Wie jede Seite berichtete
Unterstütze unabhängige, biasbewusste Nachrichten und schalte den Social-Puls, das Community-Voting und alle weiteren Unterstützer-Funktionen frei.
ObjectiveNews ist leserfinanziert und werbefrei – wir zeigen dir den Bias, statt ihn zu verstecken. Unterstütze unabhängigen Journalismus für 4 €/Monat.
India
