Cloudflare verfolgt schwache eMudhra-Schlüssel: Rund 22.000 Handshake-Versuche, kein Beleg für abgefangene eigene Verbindungen

Cloudflare veröffentlichte am 30. Oktober 2026 einen Folgebericht zum zuvor bekannt gewordenen Vorfall bei der Zertifizierungsstelle eMudhra. Acht betroffene Zwischenzertifikat-Schlüssel waren so schwach, dass jeder sie aus öffentlichen Zertifikaten zurückgewinnen konnte. Bei einem Schlüssel lautete der private Wert schlicht 4 statt einer unvorhersehbaren 115-stelligen Zahl. Der Bericht trennt gefälschte Zertifikate, versuchte TLS-Handshakes und nachgewiesenes Abfangen von Verbindungen. Das „4 real?“ im Titel ist eine Frage und bedeutet nicht, dass vier reale Angriffe bestätigt wurden.

Nach Angaben von Cloudflare begann die Reparatur der eigenen Systeme mit hohem Risiko am 19. Oktober. Pingora, das einen Großteil der ausgehenden Verbindungen zu Kundenursprüngen verarbeitet, lehnte die schwachen Schlüsselketten schon nach wenigen Stunden ab. Eine KI-gestützte Analyse des Quellcodes erfasste weitere Systeme innerhalb von vier Stunden; zuständige Teams überprüften anschließend die Auswirkungen und behoben vorrangige Fälle. Zum Zeitpunkt des Artikels waren alle hoch priorisierten Cloudflare-Systeme korrigiert, während einige bestätigte Fälle mit geringer Auswirkung offen waren. Das beschreibt Cloudflares Systeme und beweist nicht, dass sämtliche Internet-Clients ihre Vertrauensspeicher aktualisiert haben.

Die Protokollierung bei Pingora war am 21. Oktober vollständig eingeführt. In der folgenden Woche beobachtete Cloudflare rund 22.000 versuchte Handshakes mit den schwachen eMudhra-Schlüsseln. Etwa zwei Drittel betrafen Testseiten, die das Unternehmen zuvor selbst genannt hatte. Fast alle übrigen Versuche kamen offenbar von Ursprungsservern, die selbst solche Zertifikate eingerichtet hatten. Jeder Handshake, für den eine Zertifikatsprüfung konfiguriert war, wurde durch die gepatchten Systeme verweigert. Die Zahl beschreibt Versuche, keine Zahl betroffener Menschen, einzelner Sites oder erfolgreicher Angriffe.

Etwa 160 Versuche fielen auf: Die Subject Alternative Names der gefälschten Zertifikate nannten Domains anderer Organisationen, die nicht zur angefragten Server Name Indication passten. Manche Zertifikate wurden nach Bekanntwerden der Lücke erstellt und waren länger gültig, als öffentliche Zertifizierungsstellen ausstellen dürfen. Laut Cloudflare sahen sie eher wie eigene Standardzertifikate der Server aus. Die falschen Namen hätten die Hostnamenprüfung nicht bestanden, und manche Server lieferten dasselbe Zertifikat an Cloudflare-Standorte in verschiedenen Netzen. Ein gefälschtes Zertifikat datierte vom 20. Oktober, 18:19 Uhr UTC, weniger als eine Stunde nach Mozillas öffentlichem Fehlerbericht. Das belegt schnelle Fälschungen, aber Cloudflare fand keinen Beleg für das Abfangen seiner Verbindungen und schließt gezielte Eingriffe nicht aus.

Um das Vertrauen von Besuchern in die kompromittierte Kette abzuschätzen, baute Cloudflare zwei Prüfverbindungen in einen Teil seiner Challenge-Seiten ein. In einer Woche wurden laut Anbieter rund 50 Millionen Prüfungen ausgelöst. Die Stichprobe umfasst nur JavaScript ausführende Besucher solcher Seiten und enthält viele vermutete Bots. Sie ist keine repräsentative Umfrage aller Internetnutzer. Während der Messung änderten sich Kontrollzertifikat, Certificate-Transparency-Zeitstempel, G3-Cross-Sign und Root-Kette. Ein unabhängiges Rollback unterbrach die Messung bis zum 27. Oktober; die Abdeckung stieg danach von 1 auf 10 Prozent der geeigneten Challenge-Seiten. Sprünge in einer Grafik können daher vom Messaufbau und nicht von Patches stammen.

In dieser begrenzten Stichprobe hält Cloudflare aktuelle gängige Browser überwiegend für gepatcht, während ältere Browser, Bots und eingebettete Browser zurückliegen. Rund 30 bis 40 Prozent der Android-WebView-Prüfungen akzeptierten die Kette noch. Bei großen Netzen akzeptierte mehr als die Hälfte der dargestellten Prüfungen sie weiterhin, doch diese Quote lässt sich nicht auf alle Nutzer übertragen. Am 29. Oktober ließ eine neue Einstufung von Bot-Verkehr, der sich als Chrome 150 bis 154 auf macOS ausgab, eine Kurve wie einen Patch-Erfolg aussehen; in der Bot-Gruppe stieg die Annahme entsprechend. Der Rückgang bei Linux passt zu weiteren Patches, belegt aber bei wechselnder Verkehrsstruktur keinen allgemeinen Kausaleffekt. Cloudflare empfiehlt Updates und schnellere Widerrufsmechanismen.