Ostrzeżenie dotyczące bezpieczeństwa: Kompromitacja eMudhra Intermediate Certificate Authority

Podsumowanie Wykonawcze

Elo Touch Solutions aktywnie monitoruje i adresuje lukę kryptograficzną w branży, dotycząca eMudhra Technologies Limited, komercyjnej Certyfikującej Jednostki (CA). 17 października 2026 roku, badacze bezpieczeństwa ujawnili, że klucze prywatne związane z ośmioma certyfikatami pośrednimi CA, operowanymi przez eMudhra, zostały wygenerowane z krytycznymi defektami kryptograficznymi (ekstremalnie słaba entropia wynosząca tylko 3 do 8 bitów), co umożliwia osobom trzecim natychmiastowe odgadnięcie kluczy prywatnych do podpisywania.

Potencjalny wpływ na klientów Elo ogranicza się do linii produktowych Android i Windows w przedsiębiorstwie. Istotne jest zrozumienie zakupu automatycznej ochrony:

• Urządzenia Android 14 GMS: Chronione za pomocą awaryjnej aktualizacji Google Play Services wdrożonej 19 października 2026.
• Urządzenia Windows: Chronione za pomocą aktualizacji listy zaufanych certyfikatów wykluczonych Windows, która miała miejsce 20 października 2026 oraz automatycznej aktualizacji CRLSet dla Microsoft Edge i WebView2.
• Android 13 i wcześniejsze, tylko wersje AOSP oraz urządzenia non-GMS: Nie chronione automatycznie. Administratorzy muszą zastosować ręczny plan ochrony opisany w tym ostrzeżeniu, aż do momentu wydania i zainstalowania oficjalnej aktualizacji oprogramowania układowego Elo OS zaktualizowanej o nadchodzącą poprawkę Google.

Żadne inne produkty Elo nie są dotknięte. Infrastruktura korporacyjna Elo, usługi w chmurze (EloView, Elo Radar oraz Elo Remote) oraz systemy wewnętrzne nie zostały skompromitowane. Na czas publikacji tego ostrzeżenia nie zgłoszono żadnych przypadków aktywnego wykorzystania przeciwko klientom Elo.

Podsumowanie w skrócie

• Problem: Ujawniono krytyczną lukę kryptograficzną dotyczącą ośmiu pośrednich certyfikacji eMudhra, co potencjalnie umożliwia atakującym podszywanie się pod bezpieczne strony internetowe lub fałszowanie zaufanych podpisów.
• Wpływ: Wpływ jest ograniczony do urządzeń Android i Windows w przedsiębiorstwie Elo; wszystkie inne produkty i rozwiązania Elo nie są dotknięte. Ta luka miała swoje źródło wyłącznie w zewnętrznym procesie generowania kluczy eMudhra. Infrastruktura Elo, platformy w chmurze i systemy wewnętrzne są całkowicie bezpieczne i nie zostały skompromitowane.
• Rozwiązanie dla Androida (Android 14 GMS): Ochrona została dostarczona cicho i automatycznie poprzez aktualizacje w tle Play Services i przeglądarek. Nie jest wymagane żadne ręczne działanie ani przeprogramowywanie oprogramowania układowego.
• Rozwiązanie dla Androida (Inne wersje): Dla Androida 13 i wcześniejszych, AOSP oraz urządzeń non-GMS, Google dostarczy poprawkę, którą Elo następnie zintegrowało w aktualizacji oprogramowania układowego. Do tego czasu należy stosować ręczny plan ochrony opisany poniżej.
• Rozwiązanie dla Windows: W pełni zautomatyzowane aktualizacje listy zaufanych certyfikatów wykluczonych Windows i CRLSet automatycznie blokują skompromitowane klucze.

Szczegółowa analiza wpływu według architektury w Androidzie

1. Przeglądarki internetowe Android (Google Chrome)

Chrome zarządza swoim własnym niezależnym repozytorium root i nie polega na zaufanym repozytorium OS Android. Chrome wdrożył ciche aktualizacje, aby zablokować skompromitowane certyfikaty za pomocą swojej wewnętrznej listy unieważnionych (CRLSet). Dodatkowo, wymuszenie przejrzystości certyfikatu (CT) w Chrome natychmiast odrzuci wszelkie próby przedstawienia sfałszowanego certyfikatu, ponieważ żadne legitymne certyfikaty nie zostały zalogowane przed unieważnieniem.

2. Native aplikacje Android korzystające z WebView

Aplikacje korzystające z API kontrolera WebView (takie jak Elo WebView Controller) wymagają aktualizacji na poziomie systemowym:

• Na urządzeniach Android 14 GMS: Google Play Services automatycznie dodał osiem kompromitujących haszy kluczy publicznych do zablokowanej listy systemu Android. Weryfikacja techniczna wykazała, że ta lista dotarła w ciągu jednej sekundy po połączeniu z Internetem na urządzeniach po przywróceniu do ustawień fabrycznych.
• Na innych wersjach Android/AOSP: Aktualizacje na poziomie systemowym nie są dostępne za pośrednictwem Play Services. Te urządzenia pozostają podatne, dopóki nie zostanie zastosowana nadchodząca aktualizacja oprogramowania układowego Elo OS.

Ręczny plan złagodzenia

Wymagany dla Androida 13 i wcześniejsze, tylko AOSP oraz urządzenia non-GMS działające w ograniczonych sieciach.

Kontrola kompensacyjna na poziomie sieci

Dla dużych flot przedsiębiorstw, zaleca się zablokowanie połączeń przychodzących/wychodzących, które przedstawiają certyfikaty podpisane przez skompromitowane klucze pośrednie eMudhra w twojej bramie internetowej lub zaporze korporacyjnej (np. Zscaler, Palo Alto Networks, Fortinet).

Procedura ręcznego wyłączania certyfikatów

1. Przejdź do Ustawienia > Bezpieczeństwo (lub Bezpieczeństwo i prywatność > Więcej ustawień zabezpieczeń).
2. Wybierz Szyfrowanie i poświadczenia > Uznane poświadczenia.
3. W zakładce System zlokalizuj i przełącz Wyłącz na poniższych dwóch certyfikatach root (dotyczy zarówno wariantów bezpośrednich, jak i krzyżowo podpisanych):
   • emSign ECC Root CA - G3 (Wymienione pod eMudhra Technologies Limited)
   • AAA Certificate Services (Wymienione pod Comodo CA Limited)

Uwaga: Wyłączenie tych rootów zabezpiecza system TLS Android i aplikacje WebView. Samodzielne przeglądarki, takie jak Chrome, będą nadal polegać na swoich własnych automatycznych aktualizacjach wewnętrznych.

Weryfikacja i testowanie punktów końcowych

Administratorzy bezpieczeństwa mogą zweryfikować lokalne konfiguracje bezpieczeństwa urządzeń i sieci przy użyciu następujących niezależnych punktów testowych:

• Podstawowy test skompromitowanych pośrednich: https://dv-g3b-emudhra.we-have-a-problem.com/
• Ogólny odnośnik do incydentów i zestaw testowy: https://emudhra.we-have-a-problem.com/

Inne produkty i usługi Elo

Interaktywne wyświetlacze dotykowe Elo, oznakowanie, systemy sprzedaży, akcesoria i narzędzia do zarządzania zaplecza nie korzystają ani nie ufają wpływającym łańcuchom certyfikatów eMudhra i są całkowicie niewrażliwe. Usługi w chmurze Elo (w tym EloView, Elo Radar i Elo Remote) nie wykorzystują certyfikatów wydanych przez eMudhra.

Wskazówki i zasoby

• Reakcja Microsoftu na skompromitowane klucze Certyfikatu eMudhra
• Blog bezpieczeństwa Google: Ochrona użytkowników Chrome i Androida przed skompromitowanymi certyfikatami eMudhra

Uwaga: Czas dostarczania aktualizacji różni się w zależności od regionu, modelu urządzenia i dostawcy zewnętrznego. Niektóre aktualizacje mogą wymagać, aby system operacyjny był uruchomiony w najnowszej wersji konserwacyjnej, zanim wprowadzone zostaną poprawki. To ostrzeżenie jest dostarczane na zasadzie "jak jest" wyłącznie w celu informacyjnym; Elo Touch Solutions zrzeka się wszelkich gwarancji, zarówno wyraźnych, jak i domniemanych, w tym domniemanych gwarancji przydatności handlowej oraz użyteczności do określonego celu. Elo zastrzega sobie prawo do aktualizacji tego ostrzeżenia, gdy tylko dostępne będą dodatkowe informacje.