Avviso di sicurezza: compromissione dell'autorità di certificazione intermedia eMudhra

Sintesi esecutiva

Elo Touch Solutions sta monitorando attivamente e affrontando una vulnerabilità crittografica a livello industriale che coinvolge eMudhra Technologies Limited, un'autorità di certificazione commerciale (CA). Il 17 Ottobre 2026, ricercatori di sicurezza hanno rivelato che le chiavi private associate a otto certificati CA intermedi operati da eMudhra erano generate con difetti crittografici critici (entropia estremamente debole di soli 3-8 bit), consentendo a terzi di dedurre immediatamente le chiavi di firma private.

L'impatto potenziale per i clienti Elo è limitato alle linee di prodotti enterprise Android e Windows di Elo. È importante comprendere l'ambito della protezione automatica:

• Dispositivi Android 14 GMS: Protetti tramite un aggiornamento di emergenza dei Google Play Services inviato il 19 Ottobre 2026.
• Dispositivi Windows: Protetti tramite l'aggiornamento della lista dei certificati non consentiti di Microsoft Windows del 20 Ottobre 2026 e un aggiornamento automatico di CRLSet per Microsoft Edge e WebView2.
• Android 13 e versioni precedenti, build solo AOSP e dispositivi non-GMS: Non protetti automaticamente. Gli amministratori devono applicare il piano di mitigazione manuale descritto in questo avviso fino a quando non verrà rilasciato e installato un aggiornamento ufficiale del firmware Elo OS che incorpora la prossima patch di Google.

Nessun altro prodotto Elo è influenzato. L'infrastruttura aziendale di Elo, i servizi cloud (EloView, Elo Radar ed Elo Remote) e i sistemi interni non sono compromessi. Al momento di questo avviso, non ci sono segnalazioni di sfruttamento attivo ai danni dei clienti Elo.

Riepilogo in breve

• Problema: È stata rivelata una grave falla crittografica che coinvolge otto autorità di certificazione intermedie di eMudhra, consentendo potenzialmente agli aggressori di falsificare siti web sicuri o firmare falsamente certificati affidabili.
• Impatto: L'impatto è limitato ai dispositivi Android e Windows enterprise di Elo; tutti gli altri prodotti e soluzioni Elo non sono influenzati. Questa vulnerabilità è originata esclusivamente all'interno del processo di generazione delle chiavi esterne di eMudhra. L'infrastruttura, le piattaforme cloud e i sistemi interni di Elo sono completamente sicuri e non compromessi.
• Risoluzione per Android (Android 14 GMS): La protezione è stata fornita silenziosamente e automaticamente tramite aggiornamenti in background dei Play Services e del browser. Non è necessario alcun flashing del firmware o azione manuale.
• Risoluzione per Android (Altre Versioni): Per Android 13 e versioni precedenti, AOSP e non-GMS, Google fornirà un aggiornamento della patch che Elo integrerà successivamente in un aggiornamento del firmware del sistema operativo. Fino ad allora, utilizzare il piano di mitigazione manuale qui sotto.
• Risoluzione per Windows: Aggiornamenti completamente automatizzati alla lista dei certificati non consentiti di Windows e a CRLSet bloccano automaticamente le chiavi compromesse.

Analisi dettagliata dell'impatto per architettura su Android

1. Browser Web Android (Google Chrome)

Chrome gestisce il proprio repository di root indipendente e non si affida al trusted store del sistema operativo Android sottostante. Chrome ha inviato aggiornamenti interni silenziosi per bloccare i certificati compromessi tramite la sua lista di revoca interna (CRLSet). Inoltre, l'applicazione nativa della Trasparenza dei Certificati (CT) di Chrome rifiuterà istantaneamente qualsiasi tentativo di presentare un certificato falsificato poiché nessun certificato legittimo è stato registrato prima della revoca.

2. Applicazioni Native Android che utilizzano WebView

Le applicazioni che utilizzano l'API di controllo WebView (come l'Elo WebView Controller) richiedono aggiornamenti a livello di sistema:

• Su dispositivi Android 14 GMS: I Google Play Services hanno automaticamente aggiunto gli otto hash delle chiavi pubbliche compromesse alla blacklist di sistema sicura di Android. La validazione tecnica ha mostrato che questa blacklist è arrivata entro un secondo dalla connessione a Internet su dispositivi ripristinati alle impostazioni di fabbrica.
• Su altre versioni di Android/AOSP: Gli aggiornamenti a livello di sistema non sono disponibili tramite i Play Services. Questi dispositivi rimangono vulnerabili fino a quando non viene applicato il prossimo aggiornamento del firmware di Elo OS.

Piano di mitigazione manuale

Richiesto per Android 13 e versioni precedenti, sole build AOSP e dispositivi non-GMS operanti in reti ristrette.

Controllo compensativo a livello di rete

Per flotte aziendali di grandi dimensioni, si raccomanda vivamente di bloccare le connessioni in entrata/uscita che presentano certificati firmati dalle chiavi intermedie compromesse eMudhra presso il vostro gateway web sicuro o firewall aziendale (ad esempio, Zscaler, Palo Alto Networks, Fortinet).

Procedura manuale di disabilitazione dei certificati

1. Navigare su Impostazioni > Sicurezza (o Sicurezza & Privacy > Altre impostazioni di sicurezza).
2. Selezionare Crittografia & credenziali > Credenziali affidabili.
3. Nella scheda Sistema, individuare e attivare Disabilita sui seguenti due certificati root (comprende sia le varianti dirette che le cross-signed):
   • emSign ECC Root CA - G3 (Elencato sotto eMudhra Technologies Limited)
   • AAA Certificate Services (Elencato sotto Comodo CA Limited)

Nota: Disabilitare questi root garantisce la sicurezza della TLS di sistema Android e delle applicazioni WebView. I browser autonomi come Chrome continueranno a fare affidamento sui propri aggiornamenti interni automatici.

Verifica e punti di test

Gli amministratori di sicurezza possono validare le configurazioni di sicurezza dei dispositivi e della rete locali utilizzando i seguenti punti di test indipendenti:

• Test Primario Compromesso Intermedio: https://dv-g3b-emudhra.we-have-a-problem.com/
• Riferimento generale all'incidente e suite di test: https://emudhra.we-have-a-problem.com/

Altri prodotti e servizi Elo

I display touch screen interattivi Elo, la segnaletica, i sistemi di punto vendita, le periferiche e gli strumenti di gestione backend non utilizzano né si fidano delle catene di certificati eMudhra interessate e sono completamente immuni. I servizi cloud di Elo (inclusi EloView, Elo Radar e Elo Remote) non usano certificati emessi da eMudhra.

Riferimenti & Risorse

• Risposta di Microsoft alla compromissione delle chiavi dell'autorità di certificazione eMudhra
• Google Security Blog: Proteggere gli utenti di Chrome e Android da certificati intermedii eMudhra compromessi

Disclaimer: I tempi di consegna degli aggiornamenti variano in base alla regione, al modello del dispositivo e al fornitore terzo. Alcuni aggiornamenti potrebbero richiedere che il sistema operativo sia in esecuzione con l'ultima release di manutenzione prima che la correzione venga applicata. Questo avviso è fornito "così com'è" solo per scopi informativi; Elo Touch Solutions declina tutte le garanzie, esplicite o implicite, incluse le garanzie implicite di commerciabilità e idoneità per uno scopo particolare. Elo si riserva il diritto di aggiornare questo avviso man mano che diventano disponibili informazioni aggiuntive.