Beveiligingswaarschuwing: Compromittering van eMudhra Intermediate Certificate Authority

Samenvatting voor het Management

Elo Touch Solutions houdt actief toezicht en behandelt een cryptografische kwetsbaarheid in de sector die eMudhra Technologies Limited, een commerciële Certificate Authority (CA), betreft. Op 17 oktober 2026 maakten beveiligingsonderzoekers bekend dat privésleutels verbonden aan acht intermediate CA-certificaten die door eMudhra worden beheerd, zijn gegenereerd met kritieke cryptografische defecten (extreem zwakke entropie van slechts 3 tot 8 bits), waardoor derden onmiddellijk de privéhandtekening sleutels konden deduceren.

De potentiële impact voor Elo-klanten is beperkt tot de zakelijke Android- en Windows-productlijnen van Elo. Het is belangrijk om de reikwijdte van automatische bescherming te begrijpen:

• Android 14 GMS-apparaten: Beschermd via een noodupdate van Google Play Services die op 19 oktober 2026 is uitgerold.
• Windows-apparaten: Beschermd via de update van de Microsoft Windows Disallowed Certificate Trust List op 20 oktober 2026, en een automatische CRLSet-update voor Microsoft Edge en WebView2.
• Android 13 en lager, AOSP-only builds en niet-GMS-apparaten: Niet automatisch beschermd. Beheerders moeten het handmatige mitigatieplan volgen dat in deze waarschuwing is beschreven totdat een officiële Elo OS-firmware-update die de aankomende patch van Google bevat, is uitgebracht en geïnstalleerd.

Geen andere Elo-producten zijn getroffen. De bedrijfsinfrastructuur van Elo, cloudservices (EloView, Elo Radar en Elo Remote), en interne systemen zijn niet gecompromitteerd. Op het moment van deze waarschuwing zijn er geen meldingen van actieve exploitatie tegen Elo-klanten.

Samenvatting in een Oogopslag

• Probleem: Een kritieke cryptografische fout werd onthuld die acht eMudhra intermediate Certificate Authorities betreft, wat aanvallers zou kunnen toestaan om veilige websites te vervalsen of vertrouwde handtekeningen te vervalsen.
• Impact: De impact is beperkt tot Elo zakelijke Android- en Windows-apparaten; alle andere Elo-producten en -oplossingen zijn niet aangetast. Deze kwetsbaarheid is strikt ontstaan binnen het externe sleutelgeneratieproces van eMudhra. De infrastructuur van Elo, cloudplatforms en interne systemen zijn volledig veilig en niet gecompromitteerd.
• Oplossing voor Android (Android 14 GMS): Bescherming is stilzwijgend en automatisch geleverd via achtergrondupdates van Play Services en browsers. Geen firmware-flashing of handelingen zijn vereist.
• Oplossing voor Android (Andere Versies): Voor Android 13 en lager, AOSP, en niet-GMS, zal Google een patchupdate bieden die Elo vervolgens zal integreren in een OS-firmware-update. Tot die tijd, gebruik het handmatige mitigatieplan hieronder.
• Oplossing voor Windows: Volledig geautomatiseerde updates voor de Windows Disallowed Certificate Trust List en CRLSet blokkeren automatisch de gecompromitteerde sleutels.

Gedetailleerde Impactanalyse per Architectuur op Android

1. Android Web Browsers (Google Chrome)

Chrome beheert zijn eigen onafhankelijke root-store en vertrouwt niet op de onderliggende Android OS vertrouwensstore. Chrome heeft stille interne updates doorgevoerd om de gecompromitteerde certificaten te blokkeren via zijn interne intrekkingslijst (CRLSet). Bovendien zal de native Certificate Transparency (CT) handhaving van Chrome onmiddellijk elke poging om een vervalst certificaat te presenteren verwerpen omdat er geen legitieme certificaten waren gelogd voordat de intrekking plaatsvond.

2. Android Native Applicaties die WebView gebruiken

Applicaties die gebruikmaken van de WebView-controller API (zoals de Elo WebView Controller) vereisen systeemupdates:

• Op Android 14 GMS-apparaten: Google Play Services heeft automatisch de acht gecompromitteerde publieke sleutelhashes toegevoegd aan de veilige systeemblokkade van Android. Technische validatie toonde aan dat deze blokkade binnen één seconde van internetverbinding arriveerde op fabrieksinstellingen-apparaten.
• Op andere Android-versies/AOSP: Systeemupdates zijn niet beschikbaar via Play Services. Deze apparaten blijven kwetsbaar totdat de aankomende Elo OS-firmware-update is toegepast.

Handmatig Mitigatieplan

Vereist voor Android 13 en lager, AOSP-only, en niet-GMS-apparaten die op beperkte netwerken werken.

Netwerkniveau Compensatie Controle

Voor grote bedrijfsvloten is het sterk aan te raden om inkomende/uitgaande verbindingen te blokkeren die certificaten presenteren die zijn ondertekend door de gecompromitteerde eMudhra intermediate sleutels bij uw veilige webgateway of bedrijfsfirewall (bijv. Zscaler, Palo Alto Networks, Fortinet).

Handmatige Certificaatafschakeling Procedure

1. Navigeer naar Instellingen > Beveiliging (of Beveiliging & Privacy > Meer Beveiligingsinstellingen).
2. Selecteer Versleuteling & referenties > Vertrouwde referenties.
3. Onder het tabblad Systeem, zoek en schakel Uitschakelen in voor de volgende twee rootcertificaten (dekt zowel directe als kruisgecertificeerde varianten):
   • emSign ECC Root CA - G3 (Genoemd onder eMudhra Technologies Limited)
   • AAA Certificate Services (Genoemd onder Comodo CA Limited)

Opmerking: Het uitschakelen van deze roots beveiligt de TLS- en WebView-toepassingen van het Android-systeem. Onafhankelijke browsers zoals Chrome blijven hun automatische interne updates gebruiken.

Verificatie en Testeindpunten

Beveiligingsbeheerders kunnen lokale apparaat- en netwerkbeveiligingsconfiguraties valideren met behulp van de volgende onafhankelijke test-eindpunten:

• Primaire Gecompromitteerde Intermediate Test: https://dv-g3b-emudhra.we-have-a-problem.com/
• Algemene Incident Referentie en Test Suites: https://emudhra.we-have-a-problem.com/

Andere Elo-producten en -diensten

Elo interactieve touchscreen-displays, bewegwijzering, point-of-sale-systemen, randapparatuur en backend-beheerhulpmiddelen gebruiken de getroffen eMudhra-certificaatketens niet en vertrouwen er ook niet op, en zijn volledig onaangetast. De cloudservices van Elo (inclusief EloView, Elo Radar en Elo Remote) gebruiken geen door eMudhra uitgegeven certificaten.

Referenties & Bronnen

• Microsoft-reactie op gecompromitteerde eMudhra Certificate Authority-sleutels
• Google Beveiligingsblog: Bescherming van Chrome- en Android-gebruikers tegen gecompromitteerde eMudhra Intermediate CA-certificaten

Disclaimer: Update-levertijden variëren per regio, apparaatsmodel en derde-leverancier. Sommige updates kunnen vereisen dat het besturingssysteem de nieuwste onderhoudsrelease draait voordat de oplossing kan worden toegepast. Deze waarschuwing wordt verstrekt "zoals deze is" en uitsluitend voor informatieve doeleinden; Elo Touch Solutions wijst alle garanties af, expliciet of impliciet, inclusief impliciete garanties van verhandelbaarheid en geschiktheid voor een specifiek doel. Elo behoudt zich het recht voor om deze waarschuwing bij te werken zodra er meer informatie beschikbaar komt.