Sicherheitswarnung: Kompromittierung der eMudhra Intermediate Certificate Authority

Zusammenfassung

Elo Touch Solutions überwacht aktiv eine branchenweite kryptografische Schwachstelle, die eMudhra Technologies Limited, eine kommerzielle Zertifizierungsstelle (CA), betrifft. Am 17. Oktober 2026 gaben Sicherheitsforscher bekannt, dass private Schlüssel, die mit acht Intermediate CA-Zertifikaten, die von eMudhra betrieben werden, verbunden sind, mit kritischen kryptografischen Defekten (äußerst schwache Entropie von nur 3 bis 8 Bit) generiert wurden, was es Dritten ermöglicht, die privaten Signaturschlüssel sofort abzuleiten.

Die potenziellen Auswirkungen auf Elo-Kunden beschränken sich auf die Elo-Unternehmensproduktlinien Android und Windows. Der Umfang des automatischen Schutzes ist wichtig zu verstehen:

• Android 14 GMS-Geräte: Geschützt durch ein Notfall-Update der Google Play Services, das am 19. Oktober 2026 bereitgestellt wurde.
• Windows-Geräte: Geschützt durch das Update der Microsoft Windows Disallowed Certificate Trust List am 20. Oktober 2026 und ein automatisches CRLSet-Update für Microsoft Edge und WebView2.
• Android 13 und älter, nur AOSP-Bauten und Nicht-GMS-Geräte: Nicht automatisch geschützt. Administratoren müssen den manuellen Milderungsplan, der in dieser Warnung beschrieben ist, anwenden, bis ein offizielles Elo-OS-Firmware-Update veröffentlicht und installiert wird, das den kommenden Patch von Google enthält.

Keine anderen Elo-Produkte sind betroffen. Die Unternehmensinfrastruktur von Elo, Cloud-Dienste (EloView, Elo Radar und Elo Remote) und interne Systeme sind nicht kompromittiert. Zum Zeitpunkt dieser Warnung liegen keine Berichte über aktive Ausbeutung gegenüber Elo-Kunden vor.

Zusammenfassung auf einen Blick

• Problem: Ein kritischer kryptografischer Fehler wurde aufgedeckt, der acht Intermediate-Zertifizierungsstellen von eMudhra betrifft, was es Angreifern potenziell ermöglicht, sichere Websites zu fälschen oder vertrauenswürdige Signaturen zu fälschen.
• Auswirkung: Die Auswirkungen sind auf Elo-Unternehmensgeräte für Android und Windows beschränkt; alle anderen Elo-Produkte und -Lösungen sind nicht betroffen. Diese Schwachstelle entstand strikt innerhalb des externen Schlüsselgenerierungsprozesses von eMudhra. Elo-Infrastruktur, Cloud-Plattformen und interne Systeme sind vollständig sicher und nicht kompromittiert.
• Behebung für Android (Android 14 GMS): Der Schutz wurde stillschweigend und automatisch über Hintergrund-Play-Services- und Browser-Updates bereitgestellt. Kein Flashen der Firmware oder manuelle Aktion ist erforderlich.
• Behebung für Android (andere Versionen): Für Android 13 und darunter, AOSP und Nicht-GMS wird Google ein Patch-Update bereitstellen, das Elo anschließend in ein OS-Firmware-Update integrieren wird. Bis dahin verwenden Sie den folgenden manuellen Milderungsplan.
• Behebung für Windows: Vollautomatische Updates zur Windows Disallowed Certificate Trust List und CRLSet blockieren die kompromittierten Schlüssel automatisch.

Detaillierte Auswirkungsanalyse nach Architektur auf Android

1. Android-Webbrowser (Google Chrome)

Chrome verwaltet seinen eigenen unabhängigen Root-Store und verlässt sich nicht auf den zugrunde liegenden Android-OS-Vertrauensspeicher. Chrome hat stille interne Updates bereitgestellt, um die kompromittierten Zertifikate über seine interne Widerrufsliste (CRLSet) zu blockieren. Darüber hinaus wird Chomes native Enforcement von Certificate Transparency (CT) sofort jeden Versuch ablehnen, ein gefälschtes Zertifikat vorzulegen, da keine legitimen Zertifikate vor dem Widerruf protokolliert wurden.

2. Native Android-Anwendungen, die WebView verwenden

Anwendungen, die die WebView-Control-API (wie den Elo WebView Controller) verwenden, benötigen systemweite Updates:

• Auf Android 14 GMS-Geräten: Google Play Services haben automatisch die acht kompromittierten öffentlichen Schlüssel-Hashes zur sicheren Systemblockliste von Android hinzugefügt. Technische Validierung zeigte, dass diese Blockliste innerhalb einer Sekunde nach Internetverbindung auf werkseingestellten Geräten ankam.
• Auf anderen Android-Versionen/AOSP: System-Level-Updates sind über Play Services nicht verfügbar. Diese Geräte bleiben anfällig, bis das kommende Elo-OS-Firmware-Update angewendet wird.

Manueller Milderungsplan

Erforderlich für Android 13 und darunter, nur AOSP und Non-GMS-Geräte, die in eingeschränkten Netzwerken arbeiten.

Netzwerkebene Kompensation

Für große Unternehmensflotten wird dringend empfohlen, eingehende/ausgehende Verbindungen zu blockieren, die Zertifikate präsentieren, die von den kompromittierten eMudhra-Intermediate-Schlüsseln unter Ihrem sicheren Web-Gateway oder Unternehmensfirewall (z. B. Zscaler, Palo Alto Networks, Fortinet) signiert sind.

Manuelles Deaktivierungsverfahren für Zertifikate

1. Navigiere zu Einstellungen > Sicherheit (oder Sicherheit & Datenschutz > Weitere Sicherheitseinstellungen).
2. Wählen Sie Verschlüsselung & Anmeldeinformationen > Vertraute Anmeldeinformationen.
3. Unter dem Tab System finden Sie die folgenden beiden Root-Zertifikate und schalten Sie Deaktivieren um (bezieht sich auf direkte und cross-signierte Varianten):
   • emSign ECC Root CA - G3 (Aufgeführt unter eMudhra Technologies Limited)
   • AAA Certificate Services (Aufgeführt unter Comodo CA Limited)

Hinweis: Das Deaktivieren dieser Wurzeln sichert die TLS- und WebView-Anwendungen des Android-Systems. Standalone-Browser wie Chrome verlassen sich weiterhin auf ihre eigenen automatischen internen Updates.

Überprüfung und Testendpunkte

Sicherheitsadministratoren können die lokalen Geräte- und Netzwerk-Sicherheitskonfigurationen mit den folgenden unabhängigen Testendpunkten validieren:

• Primärer kompromittierter Intermediate-Test: https://dv-g3b-emudhra.we-have-a-problem.com/
• Allgemeiner Vorfallreferenz- und Testsatz: https://emudhra.we-have-a-problem.com/

Andere Elo-Produkte und -Dienstleistungen

Elo-interaktive Touchscreen-Displays, Beschilderungen, Point-of-Sale-Systeme, Peripheriegeräte und Backend-Management-Tools nutzen die betroffenen eMudhra-Zertifikatketten nicht und sind vollständig unberührt. Die Elo-Cloud-Dienste (einschließlich EloView, Elo Radar und Elo Remote) verwenden keine von eMudhra ausgestellten Zertifikate.

Referenzen & Ressourcen

• Microsofts Antwort auf kompromittierte eMudhra-Zertifizierungsstellen-Schlüssel
• Google-Sicherheitsblog: Schutz von Chrome- und Android-Nutzern vor kompromittierten eMudhra-Intermediate-CA-Zertifikaten

Haftungsausschluss: Die Lieferzeiten für Updates variieren je nach Region, Gerätemodell und Drittanbieterdienstleister. Einige Updates benötigen möglicherweise, dass das Betriebssystem die neueste Wartungsversion verwendet, bevor die Lösung angewendet wird. Diese Warnung wird "wie sie ist" nur zu Informationszwecken bereitgestellt; Elo Touch Solutions schließt alle Garantien, ob ausdrücklich oder stillschweigend, einschließlich stillschweigender Garantien der Marktgängigkeit und Eignung für einen bestimmten Zweck, aus. Elo behält sich das Recht vor, diese Warnung zu aktualisieren, sobald zusätzliche Informationen verfügbar sind.