eMudhra e PHP non sono i soli, le ultime 24 ore sono state un caos assoluto per internet
Le recenti perturbazioni della sicurezza informatica hanno avuto un impatto sulle infrastrutture digitali globali, evidenziate da vulnerabilità critiche nel linguaggio di programmazione PHP e da pratiche di sicurezza deboli da parte dell'autorità di certificazione indiana eMudhra. La PHP Foundation ha rilasciato una patch urgente per due difetti noti come PHP2Shell, che consentono l'accesso non autenticato ai server web; queste vulnerabilità, scoperte da un modello di intelligenza artificiale, colpiscono circa il 70% dei siti web secondo W3Tech. In risposta, l'Agenzia per la sicurezza nazionale degli Stati Uniti e l'FBI hanno consigliato alle organizzazioni di applicare immediatamente gli aggiornamenti o di disattivare i sistemi, portando a chiusure precauzionali dei siti web governativi in paesi come la Finlandia e i Paesi Bassi. Allo stesso tempo, eMudhra è stato identificato come utilizzatore di chiavi private a un solo byte per l'emissione di certificati digitali, una grave debolezza che ha permesso a un ricercatore di recuperare rapidamente le chiavi e creare certificati fraudolenti. Questi incidenti si sono verificati durante il mese di sensibilizzazione sulla sicurezza informatica, richiamando l'attenzione sui rischi posti da software obsoleti e standard crittografici inadeguati.
The Union government has ordered a special team to investigate a critical security failure at eMudhra Ltd, a Bengaluru-based certificate authority trusted by major global browsers. The probe follows the discovery that eight intermediate security certificates issued by the company contained private keys so weak that they could be recovered in less than a second. Google, Mozilla, Apple, and Microsoft have blocked the affected certificates, while security experts warn that cleaning up the fallout will be a lengthy and difficult process due to outdated software and hardware still relying on the compromised trust chain. The vulnerability stems from a key generation ceremony held on April 30, 2025. Private keys for these certificates were intended to be random numbers approximately 116 digits long, providing 384 bits of cryptographic strength. Instead, the keys were single-byte integers ranging from 1 to 256. Specifically, the eight compromised keys were identified as 4, 56, 66, 115, 155, 156, 230, and 237. Because a single byte offers only 256 possible values, researchers were able to brute-force the keys almost instantly. A security researcher known as Wayne alerted industry peers to the flaw on October 17. To demonstrate the severity, Wayne established a website titled emudhra.we-have-a-problem.com and posted a digitally signed message stating, "We have a problem here - Wayne." This proof of concept showed that anyone possessing these keys could forge trusted certificates for any website, allowing attackers to impersonate legitimate servers, intercept data, or steal credentials. E-Mudhra, a listed company acting as a Certificate Authority, stated in a Wednesday announcement that a flaw in the Key Generation Ceremony caused a wrap/unwrap step to produce a second set of weak keys alongside the original strong ones. The company clarified that the weak keys were the ones published to browser root stores. E-Mudhra asserted that its core infrastructure was not compromised and that no data was breached. It noted that its Indian digital signature and eSign businesses operate on separate infrastructure and remain unaffected. The company further stated that none of the affected intermediate certificate authorities had issued end-entity certificates for specific websites, a claim corroborated by public Certificate Transparency records. However, E-Mudhra admitted that one of the eight affected certificates had been deployed in production, though it did not identify which one. The Ministry of Electronics and Information Technology (MeitY) said it had taken serious note of the incident and formed a dedicated team to investigate. The ministry characterized the impact on Indian websites and applications as very limited and short-lived. It also criticized certain social media accounts for fear-mongering regarding the breach. This assessment contrasts sharply with the advisory issued by the Indian Computer Emergency Response Team (CERT-In) later that same day. CERT-In described the keys as having insufficient cryptographic randomness and warned that attackers could use them to intercept or alter communications, potentially leading to credential theft, unauthorized disclosure of sensitive information, and financial fraud. The agency urged government departments, internet service providers, software vendors, and website administrators to update their systems and trusted certificate lists immediately. CERT-In explicitly instructed users not to bypass certificate validation warnings or disable certificate verification. Global responses to the incident were swift. By late morning Tuesday, Apple, Google, and Mozilla had blocked the compromised certificates in Safari, Chrome, and Firefox respectively. Cloudflare deployed emergency fixes across its network and its 1.1.1.1 WARP application. Maintainers of the Go programming language released urgent updates to versions 1.27.3 and 1.26.10 to reject the compromised keys. Dennis Jackson, involved in Mozilla's response, described the eMudhra keys as trivial to exploit, noting that six of the impacted certificates were for TLS and trusted by the Chrome, Mozilla, Microsoft, and Apple root programs. Ben Cartwright-Cox, director of BGP.tools, called the situation bonkers, suggesting it was likely example code that accidentally leaked into production. Security experts expressed deep concern over the long-term implications. Filippo Valsorda, an engineer for the Go language, warned that the cleanup effort could rival or exceed the scale of the 2014 Heartbleed bug. He noted that while browsers can be updated quickly, patching forgotten Linux machines, smart home Internet of Things devices, and background server tools will take considerable time. Yash Kakadia, founder of the Security Brigade cybersecurity firm, highlighted that the impact extends to IoT devices that are not frequently patched. Mozilla's incident report stated that the incident enables even technically unsophisticated individuals to easily recover the private keys, posing a high-impact threat to the global internet's chain of trust. Several Indian government websites, including those operated by the Unique Identification Authority of India (UIDAI) for Aadhaar and the income tax filing portal, utilize eMudhra certificates or related technology. Historically, global browsers have been cautious about trusting Indian root certificate authorities following rogue certificates issued in 2014 by the National Informatics Centre. E-Mudhra remains the sole Indian root certificate authority currently trusted globally. There is no indication that E-Mudhra's root certificates themselves, which sit above the compromised tier, have been breached. As of the latest reports, transparency logs show no evidence that the weak keys were used to issue malicious certificates, although this does not conclusively rule out misuse outside of browser-visible certificate issuance. An attack utilizing these certificates would require an adversary-in-the-middle position, such as controlling a local Wi-Fi network. Users are advised to ensure their web browsers, operating systems, and security applications are updated to the latest versions.
Vai alle fonti primarie (1)
Le fonti ufficiali su cui si basa la copertura. Leggile direttamente per aggirare il framing.
Otto chiavi crittografiche private utilizzate da eMudhra Ltd., una società di sicurezza digitale con sede a Bengaluru, sono state trapelate, sollevando preoccupazioni significative sulla sicurezza del web. Queste chiavi sono utilizzate per rilasciare certificati SSL/TLS, essenziali per la sicurezza delle comunicazioni online. Le chiavi avevano una vulnerabilità critica: usavano numeri tra 1 e 256 invece della crittografia a 384 bit richiesta, rendendoli estremamente facili da indovinare. Le principali società di browser come Google (Chrome), Mozilla, Microsoft e Apple sono state avvisate e hanno preso provvedimenti per revocare la fiducia nei certificati compromessi. eMudhra ha dichiarato che solo uno dei certificati intermedi interessati era in uso attivo e non sono stati emessi certificati per l'utente finale utilizzando le chiavi difettose. Tuttavia, gli esperti avvertono che i dispositivi IoT, che sono spesso difficili da aggiornare, potrebbero essere ancora vulnerabili.
Lettura del bias (Centro): L'articolo presenta una violazione della sicurezza tecnica che coinvolge un'azienda privata i cui prodotti sono utilizzati da enti governativi e del settore pubblico. Sebbene l'incidente abbia implicazioni nazionali, l'articolo rimane focalizzato sugli aspetti tecnici della vulnerabilità, la risposta di eMudhra e il contributo di esperti.
Perché fattualità (95): The article provides specific details about the leaked keys including the number of keys (eight), the company involved (eMudhra Ltd.), and the nature of the vulnerability (keys being between 1 and 256 instead of 384-bit). These facts align with the cross-source consensus and appear well-supported.
Perché obiettività (90): The article presents the information in a largely neutral manner, focusing on technical aspects and quoting experts like Dennis Jackson from Mozilla. It avoids overtly biased language but does include some descriptive terms like 'extraordinary development' and 'glaring flaw,' which slightly lean tow
India TodayIndipendenteCentroFattualità 95Obiettività 90
Una vulnerabilità di sicurezza critica è stata scoperta in otto certificati digitali intermedi rilasciati dall'autorità indiana di certificazione eMudhra. Questi certificati contenevano chiavi di crittografia estremamente deboli, da 3 a 8 bit, che sono molto meno sicure delle chiavi standard a 384 bit. Un ricercatore di sicurezza di nome Wayne ha dimostrato la debolezza creando un sito web che ha usato un messaggio firmato digitalmente per evidenziare il difetto. Gli esperti avvertono che questo difetto potrebbe consentire agli aggressori di falsificare certificati affidabili, potenzialmente compromettendo i dati degli utenti. Le principali aziende tecnologiche come Apple, Google e Mozilla hanno rapidamente bloccato i certificati compromessi, mentre gli esperti di crittografia hanno espresso preoccupazione per l'ampia pulizia necessaria, paragonandola al bug Heartbleed del 2014. Sebbene non sia stato ancora confermato alcun uso malintenzionato, il rischio persiste a causa del potenziale di sfruttamento attraverso attacchi man-in-the-middle.
Lettura del bias (Centro): L'articolo si concentra su una questione tecnica di sicurezza informatica che coinvolge gli standard di crittografia e non si occupa di dibattiti politici, politiche o cifre. Fornisce una spiegazione equilibrata della vulnerabilità, delle reazioni degli esperti e degli sforzi di mitigazione senza apparenti inquadrature ideologiche.
Perché fattualità (95): The article accurately describes the discovery of weak cryptographic keys used by eMudhra, citing the specific bit sizes (3–8 bits) and referencing the researcher 'Wayne' who demonstrated the vulnerability. The comparison to the Heartbleed bug is reasonable given the potential scale of the issue. Ho
Perché obiettività (90): The article maintains a largely neutral tone, presenting facts and expert reactions without overt bias. The term 'shockingly weak' introduces some subjective language but does not strongly influence the overall neutrality. The description of the situation as 'bonkers' is a direct quote from Ben Cart
India TodayIndipendenteCentroFattualità 95Obiettività 85
Un'azienda indiana di sicurezza informatica chiamata eMudhra sta affrontando un significativo controllo dopo che sono stati scoperti otto certificati digitali emessi che contengono chiavi private estremamente deboli. Questi difetti hanno permesso agli aggressori di recuperare le chiavi in meno di un secondo, potenzialmente consentendo loro di falsificare certificati di sicurezza e impersonare server legittimi. Le principali aziende tecnologiche come Apple, Google, Microsoft e Mozilla hanno preso provvedimenti per bloccare i certificati interessati, mentre piattaforme come Cloudflare hanno implementato patch di sicurezza. Sebbene non siano ancora stati confermati attacchi, l'incidente ha suscitato preoccupazioni su come sia stata trascurata una vulnerabilità di sicurezza così fondamentale e su quanto tempo potrebbe richiedere per risolvere completamente il problema a livello globale. eMudhra opera come autorità di certificazione, rilasciando certificati digitali che aiutano i browser a verificare l'autenticità dei siti Web, rendendo il suo ruolo fondamentale per la sicurezza di Internet.
Lettura del bias (Centro): L'articolo si concentra su un problema tecnico di sicurezza informatica che coinvolge un'azienda privata e le sue vulnerabilità dei certificati digitali. Non c'è menzione di figure politiche, politiche o prospettive di partito. Il contenuto rimane focalizzato sugli aspetti tecnici del difetto e sulle sue implicazioni per il web.
Perché fattualità (95): Accurately reports the compromise of eight keys, the involvement of major tech companies, and the lack of evidence for active exploitation. The claim that keys could be recovered in 'less than a second' aligns with the primary source's description of the flaw being 'trivial to exploit.'
Perché obiettività (85): Uses slightly dramatic phrasing like 'internet security scare' and 'meltdown,' but remains largely informative and balanced in explaining the technical context.
eMudhra Ltd, con sede a Bengaluru, un'autorità certificata di cui si fidano i principali browser globali, ha generato chiavi crittografiche deboli per otto certificati di sicurezza a causa di un difetto nel suo processo di generazione delle chiavi. Questo errore ha permesso a chiunque di ricavare le chiavi segrete in pochi secondi, consentendo l'emissione di identità digitali fraudolente per qualsiasi sito web, comprese banche e portali governativi. Le principali aziende tecnologiche come Google, Mozilla, Apple e Microsoft hanno revocato i certificati interessati per mitigare i rischi. Il Ministero indiano dell'Elettronica e della Tecnologia dell'Informazione (MeitY) ha istituito una squadra speciale per indagare sull'incidente, affermando che l'impatto sui servizi domestici è stato limitato mentre accusava i social media di fomentare la paura. Gli esperti di sicurezza avvertono che la pulizia sarà complessa e prolungata, colpendo in particolare i sistemi obsoleti come i router e i terminali di pagamento che sono raramente aggiornati.
Lettura del bias (Centro): L'articolo mantiene un tono neutrale e basato sui fatti riguardo a una significativa violazione della sicurezza informatica che coinvolge un'entità nazionale e la risposta del governo. Mentre l'argomento riguarda la regolamentazione statale e la responsabilità delle imprese, la relazione bilancia spiegazioni tecniche, dichiarazioni aziendali e
Perché fattualità (95): Accurately states the government investigation, the blocking of certificates, and the specific example of a key being the number 4. Correctly notes the lack of evidence for misuse.
Perché obiettività (80): Uses strong descriptors like 'so poorly' and 'flimsy,' and quotes experts expressing alarm. While factually grounded, the tone leans towards emphasizing the severity and negative implications more than a purely neutral summary would.
India TodayIndipendenteCentroFattualità 15Obiettività 40
Le recenti perturbazioni della sicurezza informatica hanno avuto un impatto sulle infrastrutture digitali globali, evidenziate da vulnerabilità critiche nel linguaggio di programmazione PHP e da pratiche di sicurezza deboli da parte dell'autorità di certificazione indiana eMudhra. La PHP Foundation ha rilasciato una patch urgente per due difetti noti come PHP2Shell, che consentono l'accesso non autenticato ai server web; queste vulnerabilità, scoperte da un modello di intelligenza artificiale, colpiscono circa il 70% dei siti web secondo W3Tech. In risposta, l'Agenzia per la sicurezza nazionale degli Stati Uniti e l'FBI hanno consigliato alle organizzazioni di applicare immediatamente gli aggiornamenti o di disattivare i sistemi, portando a chiusure precauzionali dei siti web governativi in paesi come la Finlandia e i Paesi Bassi. Allo stesso tempo, eMudhra è stato identificato come utilizzatore di chiavi private a un solo byte per l'emissione di certificati digitali, una grave debolezza che ha permesso a un ricercatore di recuperare rapidamente le chiavi e creare certificati fraudolenti. Questi incidenti si sono verificati durante il mese di sensibilizzazione sulla sicurezza informatica, richiamando l'attenzione sui rischi posti da software obsoleti e standard crittografici inadeguati.
Lettura del bias (Centro): L'articolo riporta incidenti tecnici di sicurezza informatica che coinvolgono vulnerabilità software e fallimenti di sicurezza aziendale. Mentre le agenzie governative come l'NSA e l'FBI sono menzionate per quanto riguarda i consigli, il tema centrale è l'infrastruttura tecnologica e i protocolli di sicurezza piuttosto che partigiani
Perché fattualità (15): The article fails to accurately represent the primary source document. It conflates the eMudhra incident with unrelated events (like the PHP vulnerability) into a single 'chaos' narrative, diluting the specific facts of the eMudhra breach. Crucially, it omits the core technical details provided in t
Perché obiettività (40): The tone is sensationalist and alarmist, using phrases like 'absolute chaos,' 'sit up and notice,' and 'what in the world is going on?' This creates a sense of panic rather than providing a neutral report. By grouping multiple distinct security incidents together under a headline of 'chaos,' the art
Come l’ha coperta ogni schieramento
Lo stesso evento, raggruppato per l’orientamento politico delle testate che ne parlano.
progressista
centro
conservatore
★
Come l’ha coperta ogni schieramento
Sostieni notizie indipendenti e consapevoli del bias e sblocca il polso social, il voto della comunità e tutte le altre funzioni per i sostenitori.
ObjectiveNews è finanziato dai lettori e senza pubblicità: ti mostriamo il bias invece di nasconderlo. Sostieni il giornalismo indipendente per 4 €/mese.
India
