Lyklar vottunarstöðvarinnar eMudhra afhjúpaðir: hvað fyrirtæki ættu að athuga og laga núna

Laugardaginn 17. október 2026 greindi öryggisrannsakandi frá því að átta millivottunarstöðvar (intermediate CA) sem eMudhra rekur, indversk vottunarstöð (certificate authority), væru með einkalykla sem hver sem er gæti reiknað út frá opinberu vottorðunum. Hver einasti lykill var tala lægri en 256. Einn þeirra var talan 4. Sex af þessum átta gátu gefið út TLS-vottorð sem Apple, Google, Microsoft og Mozilla treysta; hinar tvær gátu undirritað hugbúnað fyrir Windows.

Chrome lokaði á TLS-lyklana sex einni klukkustund og fjörutíu mínútum eftir tilkynninguna, og Firefox sama kvöld. Fyrir fólk sem vafrar um vefinn var hættan liðin hjá á laugardagskvöld.

Hún var ekki liðin hjá fyrir allt hitt. Þjónar, gámar, Java-forrit, Python-skriftur, greiðslusamþættingar og nettengd tæki sannprófa vottorð gegn sínu eigin eintaki af listanum yfir traustar vottunarstöðvar, og flest þessara eintaka breytast aðeins þegar einhver setur upp uppfærslu. Þangað til er vottorð fyrir hvaða lén sem er, undirritað með einum þessara lykla, tekið gilt sem ósvikið, og lyklarnir hafa verið opinberir síðan 20. október.

Í sömu viku hóf GoDaddy að afturkalla 404.607 vottorð vegna þess að upplýsingar um vottunarstefnu í þeim pössuðu ekki við skjöl sem fyrirtækið hefur sjálft birt. Viðskiptavinir þess þurftu sjálfir að sækja og setja upp nýju vottorðin.

Þessi leiðarvísir er fyrir þá sem þurfa að svara spurningunni „snertir þetta okkur?“: upplýsingatækni- og rekstrarstjóra, tæknistjóra og stofnendur fyrirtækja sem byggja reksturinn á vef, API eða nettengdri vöru. Hann fjallar um hvað gerðist, samkvæmt þeim atvikaskrám sem Mozilla, Google, eMudhra, GoDaddy og hugbúnaðarframleiðendurnir hafa birt; hvað á að athuga í dag; hvað á að uppfæra í þessari viku; og hvað á að koma á svo næsta atvik af þessu tagi verði venjubundið verk. Allt hér miðast við 22. október 2026, og atvikinu er ekki enn lokið.

Hvað gerðist

eMudhra bjó til millivottorðin átta við lyklaathöfn (key ceremony) 30. apríl 2025. Frásögn fyrirtækisins, birt í atvikaskráningunni hjá Mozilla 19. október: prófun á innpökkun og útpökkun lykla (key wrap og unwrap), sem var samþykkt sem frávik frá hefðbundnu verklagi, var með galla sem bjó til annað sett af veikum lyklum í vélbúnaðaröryggiseiningunni (HSM), við hlið þeirra lykla sem til stóð að nota. Heiti lyklanna voru svipuð, veiku lyklarnir voru fyrir mistök notaðir til að búa til vottorðsbeiðnirnar, og rótarvottorð eMudhra undirritaði þær. Sömu beiðnir fóru til Sectigo, sem krossundirritaði öll átta frá rótarvottorði sínu AAA Certificate Services 14. maí 2025. eMudhra segist „ekki enn hafa staðfest nákvæma rótarorsök“.

Mozilla lýsti niðurstöðunni: „Einkalyklar fyrir P384 eru slembivaldar heiltölur á milli 1 og stigs grúpunnar. Allir 8 lyklarnir sem urðu fyrir áhrifum notuðu heiltölur lægri en 256.“ Mozilla fékk tilkynninguna kl. 20:06 UTC og fann lyklana sjálft kl. 21:48, „án nokkurrar vitneskju um aðferðina sem upphaflegi tilkynnandinn notaði“. Rannsakandinn segist hafa fundið þá með paranoid_crypto, opnu hugbúnaðarsafni frá Google, „beint úr kassanum“. Veiku lyklarnir höfðu þá verið hluti af keðjum sem njóta almenns trausts í næstum 18 mánuði.

Vottorðin átta:

Hver lykill er í tveimur vottorðum. Annað var gefið út af emSign Root TLS CA - G3 eða emSign Root CS CA - G3 hjá eMudhra, sem leiða upp í emSign ECC Root CA - G3; hitt er krossvottorð Sectigo frá AAA Certificate Services. Seinni leiðin skiptir máli, því sum traustsöfn (trust store) sem aldrei innihéldu rótarvottorð frá eMudhra treysta enn þessu gamla rótarvottorði Sectigo.

Var ráðist á einhvern?

Enginn hefur tilkynnt um misnotkun, og hvað vafra varðar er góð ástæða til að ætla að hún hafi engin verið. Chrome tekur, eins og aðrir biðlarar sem framfylgja Certificate Transparency (CT), aðeins við vottorði sem hefur verið skráð í opinberu CT-annálana. Google: engin TLS-vottorð sem tengjast þessum sex millivottorðum höfðu verið skráð áður en lokað var á þau, svo „engin sviksamleg vottorð sem þessar vottunarstöðvar gáfu út gætu hafa verið notuð gegn biðlurum sem framfylgja CT“.

Utan vafrans er myndin önnur. Atvikasíða Mozilla: „margir biðlarar utan vafraumhverfisins framfylgja ekki Certificate Transparency. Við vitum ekki hvort árásaraðilar nýttu sér gallaða lyklamyndunina til að ráðast á þessa biðlara.“ Sá gluggi opnaðist vorið 2025 og lokast ekki fyrir hvern biðlara fyrr en hann er uppfærður. eMudhra segist ekki vita um nein merki þess að lyklarnir hafi verið fundnir fyrir birtinguna, og Cloudflare segir að úttekt fyrirtækisins hafi ekki leitt í ljós neina virka misnotkun í þjónustum þess.

Nú þegar lyklarnir eru opinberir þarf enga kunnáttu til að falsa vottorð. Atvikasíða Mozilla telur upp prófunarþjóna sem framvísa vottorðum útgefnum með afhjúpuðu lyklunum, svo hver sem er geti prófað biðlarana sína gegn þeim (skipanirnar eru hér fyrir neðan).

Hvað falsað vottorð gerir kleift: sá sem getur gripið inn í umferðina á milli hugbúnaðarins þíns og þjónustu sem hann kallar á (á sameiginlegu neti, í gegnum yfirtekinn beini eða eitrað DNS-svar) getur þóst vera sú þjónusta, lesið það sem hugbúnaðurinn þinn sendir, þar á meðal API-lykla og persónuupplýsingar, og breytt því sem hann fær til baka. Hugbúnaður sem var undirritaður með öðrum af kóðaundirritunarlyklunum tveimur hefði staðist undirskriftarprófun Windows þar til lokun Microsoft barst vélinni.

Hverjir verða fyrir áhrifum

Vandamálin eru þrjú og aðskilin, og sama fyrirtækið getur haft þau öll.

1. Hugbúnaður sem treystir enn afhjúpuðu lyklunum

Þetta vandamál hafa nær öll fyrirtæki: hvert það forrit sem gerir HTTPS-köll, er með traustsafn sem inniheldur enn emSign ECC Root CA - G3 eða AAA Certificate Services og hefur ekki fengið lokun á lyklana átta. Algengir staðir:

• Linux-þjónar og gámamyndir sem voru smíðaðar fyrir 20. eða 21. október. Óplástrað Debian 12 treystir til dæmis báðum keðjunum.
• Keyrsluumhverfi forritunarmála sem koma með eigin lista: Node.js, certifi í Python, cacerts í Java, vottorðapakki Composer fyrir PHP, webpki-roots í Rust.
• Skipanalínutól í macOS. Atvikasíða Mozilla segir að innbyggðu curl, git, python3, perl, ruby og openssl sannprófi vottorð gegn /etc/ssl/cert.pem án þess að athuga afturköllun, og að Apple hafi ekki uppfært þá skrá.
• Windows-vélar sem fá ekki sjálfvirkar uppfærslur Microsoft á bannlistanum, yfirleitt af því að slökkt er á þeim með Group Policy eða af því að netið er ekki tengt internetinu.
• Tilbúinn búnaður (appliances), tæki og hugbúnaður frá þriðja aðila sem kemur með eigin CA-skrá, svo sem álagsdreifar, VPN-gáttir, SDK-pakkar og innbyggðar stýringar.

Það þarf að athuga hvert keyrsluumhverfi fyrir sig. Í prófun sem við gerðum 22. október tók óplástruð Debian 12-vél með Node.js 24.18 við keðjunni sem endar í rótarvottorði eMudhra og hafnaði þeirri sem endar í rótarvottorði Sectigo, á meðan Python á sömu vél tók við báðum.

2. Fyrirtæki sem eiga vottorð undir rótarvottorðinu sem var fjarlægt

Mozilla og Linux-dreifingarnar hafa fjarlægt emSign ECC Root CA - G3, og Chrome fylgir á eftir 27. október. Gild vottorð undir þessu rótarvottorði hætta að virka í hverjum biðlara um leið og hann er uppfærður. Fyrirmæli Google: rekstraraðilar vefja með slík vottorð „verða tafarlaust að afla sér nýs TLS-vottorðs frá öðru PKI-stigveldi sem er í Chrome Root Store og setja það upp“.

Chrome taldi 21. október um 30.800 óútrunnin vottorð undir rótarvottorðinu í CT. Tvö millivottorð InCommon stóðu að baki 30.791 þeirra, en InCommon er vottorðaþjónustan sem Internet2 rekur fyrir bandaríska háskóla og rannsóknastofnanir og gefur út ECC-vottorð í gegnum CERTInext, vettvang eMudhra. Millivottorð eMudhra sjálfs stóðu að baki 18. eMudhra segir að flytja þurfi um 30.000 vottorð, að um 97% þeirra hafi verið gefin út með ACME, og að fyrirtækið sé að gefa út ný vottorð í þeirra stað úr öðru stigveldi.

Ef vefurinn þinn er á bak við Cloudflare í Full (strict) ham og upprunaþjónninn framvísar vottorði undir þessu rótarvottorði, segir Cloudflare að afnám traustsins „myndi valda bilunum“, og biður viðskiptavini að „fara yfir sérsniðin upprunavottorð sín og stillingar þjóna“.

RSA-vottorð frá hinu rótarvottorði eMudhra, emSign Root CA - G1, eru ekki fyrir áhrifum enn sem komið er. Mozilla segist ekki fjarlægja það rótarvottorð „að svo stöddu“; Chrome er að „rannsaka gaumgæfilega hvort eftirstandandi CA-vottorð eMudhra eigi áfram að vera í safninu“. Ef þú reiðir þig á vottorð frá eMudhra eða CERTInext, af hvaða tagi sem er, skaltu tryggja þér aðra vottunarstöð strax.

3. Viðskiptavinir GoDaddy

Mál GoDaddy tengist eMudhra ekki neitt, en það kom upp í sömu viku og náði til mun fleiri vefja. Hinn 15. október tilkynnti GoDaddy Mozilla að vottorð úr GoDaddy- og Starfield-stigveldunum bæru upplýsingar um vottunarstefnu (stefnuauðkenni, policy OID, og CPS-tengla) sem pössuðu ekki við prófílana í eigin CP/CPS fyrirtækisins, skjalinu þar sem vottunarstöð tilgreinir hvað hún gefur út. Það er ekki öryggisgalli í vottorðunum. Samkvæmt Baseline Requirements, reglunum sem allar opinberar vottunarstöðvar fylgja, er það samt ástæða til að afturkalla þau innan fimm daga.

Málið nær til 404.607 vottorða, þar af 396.055 lénsstaðfestra (domain validated). GoDaddy afturkallaði 170.566 fyrir frestinn, 18. október kl. 23:45 UTC, og 227.422 fyrir morguninn eftir; tilkynning fyrirtækisins til viðskiptavina segir að restin hafi verið afturkölluð 21. október. GoDaddy gefur vottorðin út á ný, en það er viðskiptavinarins að setja þau upp: „gestir vefsins þíns gætu séð öryggisviðvaranir, og vefurinn þinn gæti orðið óaðgengilegur þar til nýtt vottorð hefur verið sett upp.“

Hvað á að athuga í dag

1. Hvað senda þínir eigin þjónar? Skráðu fyrir hvert opinbert hýsilnafn útgefendurna í keðjunni sem þjónninn framvísar:

h=www.example.com
openssl s_client -connect "$h:443" -servername "$h" -showcerts </dev/null 2>/dev/null | grep -E '^ +i:'

Lína sem nefnir eMudhra, emSign, einhverja af vottunarstöðvunum EM ... G3B eða G3C, eða InCommon Intermediate CA - DVG3C, OVG3C eða EVG3C þýðir að skipta þarf um vottorðið fyrir 27. október. AAA Certificate Services eitt og sér er eðlilegt, því margar venjulegar Sectigo-keðjur innihalda það enn. Fyrir póst- og möppuþjónustur skaltu bæta við -starttls smtp (eða imap, ldap) og réttu portnúmeri. Taktu með innri hýsla, álagsdreifa og upprunaþjóna á bak við CDN.

2. Hvað hefur verið gefið út fyrir lénin þín? CT skráir hvert vottorð sem opinber vottunarstöð hefur gefið út fyrir nöfnin þín, þar á meðal vottorð sem enginn í fyrirtækinu man eftir að hafa pantað:

curl -s 'https://crt.sh/?q=%25.example.com&output=json&exclude=expired' | jq -r '.[].issuer_name' | sort | uniq -c

Úttakið sýnir líka hvaða vottunarstöðvar fyrirtækið þitt notar í raun, og það er upphafið að yfirlitinu sem lýst er neðar.

3. Treysta biðlararnir þínir afhjúpuðu lyklunum? Prófunarþjónar Mozilla framvísa vottorðum sem voru gefin út undir afhjúpuðu lyklunum, svo vottorðsvilla er góða niðurstaðan. Prófaðu báðar fjölskyldurnar: fyrri hýsillinn tengist rótarvottorði eMudhra, sá seinni rótarvottorði Sectigo, og traustsafn getur fallið á öðru prófinu en staðist hitt.

curl -sS -o /dev/null https://dv-g3b-emudhra.we-have-a-problem.com/ && echo "TRUSTED: update this system"
curl -sS -o /dev/null https://dv-g3b-aaa-emudhra.we-have-a-problem.com/ && echo "TRUSTED: update this system"

curl svarar aðeins fyrir curl. Sendu sömu beiðni í gegnum TLS-útfærslu hvers forrits fyrir sig, í umhverfinu þar sem forritið keyrir:

node -e "require('https').get('https://dv-g3b-emudhra.we-have-a-problem.com/', () => console.log('TRUSTED')).on('error', e => console.log('rejected:', e.code))"
python3 -c "import urllib.request; urllib.request.urlopen('https://dv-g3b-emudhra.we-have-a-problem.com/'); print('TRUSTED')"
python3 -c "import requests; requests.get('https://dv-g3b-emudhra.we-have-a-problem.com/'); print('TRUSTED')"

Python-línurnar tvær eru ekki tvítekning: urllib notar traustsafn stýrikerfisins, requests notar certifi. Endurtaktu hverja línu með hýslinum dv-g3b-aaa-emudhra. Fyrir Java skaltu gera hvaða HTTPS-kall sem er á prófunarþjónana úr JVM-inu sem um ræðir, og athuga hvort traustsafn þess inniheldur annað hvort rótarvottorðið (Java 9 eða nýrra; á Java 8 skaltu nota -keystore $JAVA_HOME/jre/lib/security/cacerts):

keytool -list -v -cacerts -storepass changeit | grep -E 'Owner: .*(emSign ECC Root CA - G3|AAA Certificate Services)'

Rótarvottorð í traustsafni sannar ekki eitt og sér að kerfið sé berskjaldað, því Go, Node.js, Deno og rustls-webpki í Rust loka nú á lyklana átta hvað sem traustsafnið segir. Prófunarþjónarnir skera úr um það.

4. Windows-tölvuflotinn. Microsoft hefur ekkert birt um atvikið, en bannlistinn sem Windows sækir sjálfvirkt hefur lokað á alla átta lyklana frá 20. október. Undantekningarnar eru vélar þar sem Group Policy slekkur á sjálfvirkum uppfærslum rótarvottorða, og net sem eiga enga leið að Windows Update; þær þurfa að fá listann eftir öðrum leiðum. certutil -verifyCTL Disallowed sýnir eintakið sem vél geymir í skyndiminni. Atvikasíða Mozilla býður upp á skriftu fyrir stakar vélar og segir að hún sé „ekki ráðlögð fyrir tæki í miðlægri umsjá fyrirtækja“.

5. GoDaddy-vottorð. Athugaðu hvaða vottorð hver þjónn framvísar í raun:

echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2>/dev/null | openssl x509 -noout -issuer -serial -startdate

Ef útgefandinn er GoDaddy eða Starfield skaltu bera raðnúmerið saman við vottorðin í GoDaddy-aðganginum þínum. Þar sem GoDaddy sýnir „Install your new certificate“ (settu upp nýja vottorðið þitt) er þjónninn enn með afturkallaða vottorðið.

Ein regla gildir alls staðar: ekki láta villu hverfa með því að slökkva á sannprófun vottorða. Með orðum Cloudflare: „Það er mikilvægt að leysa þessar villur ekki með því að slökkva á sannprófun.“ Biðlari sem sannprófar ekki treystir hverju fölsuðu vottorði, ekki bara þessum.

Hvað á að uppfæra í þessari viku

Lagfæringarnar eru tvenns konar. Að fjarlægja rótarvottorðin tvö lokar öllum leiðum fyrir biðlara sem notar það traustsafn, en það gerir líka gild vottorð undir þeim ónothæf. Að loka á lyklana átta eftir tætigildi (hash) opinbera lykilsins, eins og Go, Node.js, Deno, Electron, rustls-webpki, Composer og Windows gera, lokar gatinu og brýtur ekkert annað. Þar sem kerfið þitt býður upp á seinni leiðina skaltu velja hana.

Þar sem stendur „enn“ hafði ekkert verið birt 22. október. Athugaðu aftur áður en þú gerir áætlanir út frá því.

Fjórir hlutir koma teymum í opna skjöldu:

• Gámamyndir halda gamla listanum. Gámamynd sem var smíðuð fyrir 20. eða 21. október treystir lyklunum þar til hún er smíðuð upp á nýtt á uppfærðri grunnmynd, og að sækja sama merki (tag) hjálpar aðeins þegar grunnmyndin sjálf hefur verið endursmíðuð. Smíðaðu upp á nýtt, settu aftur í rekstur, og spurðu framleiðendur þeirra gámamynda sem þú keyrir.
• Ferli halda í það sem þau hlóðu. Forrit les traustsafnið sitt þegar það ræsist, svo endurræstu þjónustur sem keyra lengi eftir uppfærsluna. Node.js bendir auk þess á að TLS-lotur sem eru teknar upp aftur frá því fyrir uppfærsluna séu ekki athugaðar á ný.
• Forrit bera eigin CA-skrár. SDK-pakkar og forrit koma oft með sína eigin cacert.pem eða ca-bundle.crt. Leitaðu að þeim í kóðageymslum og gámamyndum, til dæmis með find / -xdev \( -name 'cacert*.pem' -o -name 'ca-bundle*.crt' \) 2>/dev/null, og búðu þig undir að finna fleiri en eina: pip ber til að mynda sitt eigið eintak af certifi.
• Tæki bíða eftir framleiðandanum. Spurðu hvern framleiðanda skriflega hvaða traustsafn varan notar og hvenær uppfærslan kemur út. Þangað til treystir tækið fölsuðum vottorðum fyrir allar þjónustur sem það kallar á, svo takmarkaðu hvað það getur náð sambandi við.

Ef þú fjarlægir AAA Certificate Services handvirkt, eins og Debian, Ubuntu ESM, Fedora og bráðabirgðalausn Red Hat gera, skaltu prófa tengingar við þjónustur með Sectigo-vottorð á eftir: sumir eldri þjónar senda enn keðju sem endar í því rótarvottorði.

Hvað á að koma á fyrir næsta atvik

Það er sjaldgæft að vottunarstöð skilji eftir svona veika lykla. Fjöldaafturkallanir eru hins vegar ekki sjaldgæfar. Þetta eru þær stóru á árinu 2026 sem skráðar eru í villuskráningarkerfi Mozilla:

Ekkert þessara fimm mála var öryggisbrestur. Í hverju þeirra stangaðist vottorð á við eigið skjal vottunarstöðvarinnar, og Baseline Requirements (kafli 4.9.1.1) krefjast samt afturköllunar innan fimm daga. Þegar lykill hefur verið afhjúpaður, eða ekki er hægt að reiða sig á lénsstaðfestinguna, er fresturinn 24 klukkustundir. Enginn getur framlengt hann fyrir þig. Þegar DigiCert afturkallaði 83.267 vottorð árið 2024 skrifaði Chrome Root Program að það „hafi ekki heimild til að veita undanþágur“; einn viðskiptavinur fékk dómsúrskurð um að stöðva afturköllun vottorða sinna, og úrskurðurinn var felldur úr gildi fjórum dögum síðar.

Hvernig gekk að skipta vottorðunum út segir sína sögu. Í júlí notaði HARICA ACME Renewal Information (ARI) til að segja ACME-biðlurum viðskiptavina sinna að endurnýja snemma, og gaf önnur vottorð sjálft út á ný; í stærri afturkölluninni af tveimur hafði 87% þeirra nafna sem í hlut áttu verið skipt út þegar fresturinn rann út. GoDaddy, þar sem viðskiptavinirnir sækja og setja upp hvert nýtt vottorð sjálfir, hafði afturkallað 42% vottorðanna sem í hlut áttu þegar fresturinn rann út.

Endurnýjunarlotan styttist hvort sem er:

• Samkvæmt tillögu SC-081 hjá CA/Browser Forum hefur gildistími opinberra TLS-vottorða verið takmarkaður við 200 daga frá 15. mars 2026. Hámarkið lækkar í 100 daga 15. mars 2027 og í 47 daga 15. mars 2029, en þá má aðeins endurnýta lénsstaðfestingu í 10 daga.
• Let's Encrypt gerir 64 daga vottorð að sjálfgefnu vali 10. febrúar 2027, og 45 daga vottorð ári síðar.
• Opinber TLS-vottorð eru að missa auðkenningu biðlara. Let's Encrypt hætti að setja hana í vottorð sín 8. júlí 2026, og Chrome Root Program krefst þess að vottorð sem gefin eru út frá 15. mars 2027 séu eingöngu til auðkenningar þjóns. Ef þú notar opinber vottorð sem biðlaravottorð fyrir gagnkvæmt TLS (mutual TLS), sem er algengt í API-samþættingum milli fyrirtækja, þurfa þær tengingar einkavottunarstöð.

Við 100 daga, og síðan 47, hættir handvirk uppsetning vottorða að vera raunhæfur kostur. Fyrirtæki sem gerir ferlið sjálfvirkt miðað við þá tímaáætlun er líka tilbúið fyrir næstu fjöldaafturköllun. Það sem þarf:

1. Vittu hvað þú ert með, í báðar áttir. Einn listi yfir öll vottorð sem þú framvísar, með hýsilnafni, útgefanda, gildislokum, endurnýjunaraðferð og ábyrgðaraðila. Annar listi yfir öll traustsöfn sem hugbúnaðurinn þinn reiðir sig á: pakka stýrikerfisins, hvern vottorðapakka forritunarmálanna, hverja CA-skrá inni í forriti eða tæki. CT-leitin hér að ofan er upphafið að fyrri listanum; hugbúnaðaríhlutaskrá (SBOM) eða yfirlit yfir ósjálfstæði er upphafið að þeim seinni.
2. Gerðu útgáfu og uppsetningu sjálfvirka. ACME alls staðar þar sem það getur keyrt, með ARI (RFC 9773) svo vottunarstöð geti sagt biðlurunum þínum að endurnýja snemma. Þar sem tæki getur ekki keyrt ACME skaltu nota sjálfvirkni framleiðandans, eða láta TLS enda fyrir framan það á búnaði sem ræður við það.
3. Hafðu aðra vottunarstöð tilbúna. Virkan ACME-aðgang hjá annarri vottunarstöð, prófaðan, og CAA-færslur í DNS sem leyfa báðar. Þegar hætt er að treysta einni vottunarstöð eða hún afturkallar í stórum stíl verða skiptin að breytingu á stillingum.
4. Vaktaðu CT fyrir lénin þín. Fáðu viðvörun um hvert nýtt vottorð fyrir nöfnin þín. Þá veistu af óvæntri útgáfu sama dag og hún á sér stað.
5. Meðhöndlaðu traustsöfn sem ósjálfstæði. Uppfærðu þau með venjulegri plástrun, og endursmíðaðu gámamyndir samkvæmt áætlun frekar en aðeins þegar kóðinn breytist.
6. Skrifaðu viðbragðsáætlunina (runbook) út frá klukkunum tveimur. 24 klukkustundir og fimm dagar: hver ákveður, hver hefur aðgang að hverju kerfi, hvaða kerfi þurfa handvirk skref, hvernig næst í hvern framleiðanda. Æfðu hana einu sinni á ári með því að skipta um vottorð á þjónustu sem þolir mistök. Opinberar vottunarstöðvar hafa frá árinu 2025 þurft að halda úti og prófa eigin áætlun um fjöldaafturköllun; viðskiptavinir þeirra þurfa hinn helminginn.

Ef þú framleiðir vörur sem aðrir keyra

Ef varan þín inniheldur traustsafn (tæki, uppsett forrit, SDK) eru viðskiptavinir þínir aðeins varðir þegar uppfærslan þín hefur borist þeim. Gefðu hana út, og segðu viðskiptavinum hvaða útgáfur eru lagfærðar. Ráð Mozilla til þeirra sem reka traustsöfn: lokaðu á millivottorðin átta ef hugbúnaðurinn þinn getur það, en annars skaltu „íhuga hvort það henti að afnema traust á rótarvottorðunum sem undirrituðu þessi millivottorð“.

Netþolslögin (Cyber Resilience Act) eiga við hér á tvo vegu. Tilkynningarskylda þeirra, sem hefur gilt frá 11. september 2026, nær til virkt misnotaðra veikleika, og ekki hefur verið tilkynnt um misnotkun í þessu máli. Grunnkröfur þeirra, sem gilda frá 11. desember 2027, fela meðal annars í sér að hægt sé að bregðast við veikleikum með öryggisuppfærslum; vara þar sem ekki er hægt að uppfæra traustsafnið myndi ekki uppfylla þær. Viðskiptavinir sem falla undir NIS2 munu spyrja birgja sína hversu hratt þeir brugðust við þessu, og það hjálpar að hafa svarið skriflegt.

Hvað er enn óleyst

• Eftirstandandi rótarvottorð eMudhra. Chrome lagði tólf spurningar fyrir eMudhra 21. október og hefur ekki tilkynnt neina ákvörðun um emSign Root CA - G1. Mozilla fjarlægir það ekki „að svo stöddu“.
• Flutningsleið eMudhra. Fyrirtækið sagði Mozilla að það myndi flytja viðskiptavini yfir í G1-stigveldi sitt (RSA); stöðusíða þess talar um „annað, sjálfstætt rekið CA-stigveldi sem nýtur almenns trausts“. Chrome hefur spurt hvaða stigveldi það sé.
• Microsoft og Apple. Hvorugt hefur birt yfirlýsingu eða fjarlægt annað hvort rótarvottorðanna úr traustsafni sínu.
• Lagfæringar sem bíða. Red Hat, Amazon Linux, Temurin og Corretto höfðu ekkert gefið út 22. október; lagfæring Bun hafði verið sameinuð en ekki gefin út.
• Rótarorsökin. eMudhra hefur ekki staðfest hana, og hefur sagst ætla að sannreyna á ný hverja einustu lyklaathöfn sem fyrirtækið hefur haldið.
• Sectigo. Í öðru máli, sem hefur verið opið frá 5. september, hefur Sectigo neitað að afturkalla vottorð þar sem útvíkkuð lyklanotkun (extended key usage) passaði ekki við setningu í CPS fyrirtækisins, með þeim rökum að setningin hafi verið tvíræð. Hinn 18. október taldi fyrirtækið um 72 milljónir slíkra vottorða enn í gildi. Sumir þátttakendur í opinberu umræðunni hafa kallað eftir afnámi trausts; ekkert rótarkerfanna (root programs) hefur tilkynnt ákvörðun. Fyrirtæki með Sectigo-vottorð ættu að fylgjast með málinu.

Hvar þú færð aðstoð

Vottorðavandamál kynnir sig sjaldnast sem slíkt. Það birtist sem greiðsluferli sem hættir að hlaðast, samþætting sem hættir að samstillast eða tæki sem hættir að senda gögn, yfirleitt um helgi. Við hjálpum fyrirtækjum að komast í gegnum vikur eins og þessa án rekstrarrofs, og að setja hlutina upp þannig að sú næsta verði venjubundin:

• Athugun á berskjöldun. Við finnum hvar kerfin þín opna eða taka við TLS-tengingum, hvaða traustsafn hvert þeirra notar og hvaða vottorð þú framvísar, þar á meðal gáma, Java-þjónustur, samþættingar við banka, greiðslumiðlanir og flutningafyrirtæki, og tæki.
• Lagfæringarnar. Uppfærslur, endursmíðaðar gámamyndir, lokaðir lyklar eða ný vottorð, unnið í gegnum breytingaferlið þitt og staðfest gegn prófunarþjónum Mozilla.
• Sjálfvirkni fyrir 2027. ACME með ARI á þjónum, álagsdreifum og tilbúnum búnaði, önnur vottunarstöð, CAA-færslur, CT-vöktun og viðbragðsáætlun, tilbúið fyrir 100 daga vottorð frá 15. mars 2027.
• Kerfin sem enginn vill snerta. Gömul Java-forrit, tilbúinn búnaður og innbyggðir biðlarar með eigin traustsöfn eru einmitt það sem þjónusta okkar við viðhald eldri kerfa er til fyrir.

Ef þú ert ekki viss um hvort þetta snertir þig skaltu skrifa á office@c9group.dev og segja okkur hvaða lén og kerfi þú rekur, eða bóka símtal. Við segjum þér hvað á að athuga fyrst.