LONDON (IT BOLTWISE) – Der Samsung Browser in Version 31.0.0.64 soll in Tests weiterhin sechs kompromittierte Website-Zertifikate akzeptiert haben, die auf eMudhras emSign Root TLS CA – G3 basieren. Betroffen ist offenbar auch die Akzeptanz von TLS-Zertifikaten über das Stammzertifikat, während Routen über Sectigo blockiert wurden. Nutzer sollen für sicherheitskritische Vorgänge bis zum Update auf alternative Browser ausweichen und Apps nicht pauschal auf geänderte Trust-Listen verlassen.
Während etablierte Browserhersteller kompromittierte Zertifikate in ihren Trust-Listen bereits deutlich früher herausgenommen haben, bleibt der Samsung Browser offenbar länger verwundbar. In Tests wurde die Version 31.0.0.64 untersucht, und dabei zeigte sich, dass der Browser weiterhin sechs betroffene Website-Zertifikate akzeptiert, die der indischen Zertifizierungsstelle eMudhra zugeordnet werden. Der Hinweis zielt vor allem auf Szenarien mit hohen Sicherheitsanforderungen: Für Online-Banking und andere sensible Abläufe wird daher geraten, bis zur Bereinigung auf alternative Browser auszuweichen und parallel verfügbare App-Updates sofort einzuspielen.
Technisch verdichtet sich die Schwachstelle auf die Ausstellung und Verarbeitung von Schlüsselmaterial rund um das Stammzertifikat emSign Root TLS CA – G3. Laut Testergebnis akzeptiert der Samsung Browser alle sechs betroffenen TLS-Zertifikate über dieses Root-Zertifikat, während eine alternative Zertifikatskette über Sectigo in den Tests nicht funktionierte. Als Auslöser wird eine fehlerhafte Schlüsselgenerierung am 30. April 2025 unter dem genannten Stammzertifikat beschrieben. Ein Skriptfehler habe dabei die Entropie bei acht Zwischenzertifizierungsstellen massiv reduziert, von vorgesehenen 384 Bit auf nur noch 3 bis 8 Bit.
Die Folgen für die Kryptografie wirken dabei besonders drastisch, weil die Qualität des Zufalls nicht nur „schlechter“, sondern faktisch so weit abgesunken sein soll, dass private Schlüssel aus den öffentlichen Zertifikaten rekonstruierbar waren. Bei mehreren privaten Schlüsseln sollen alle Bytes bis auf das letzte mit Null belegt gewesen sein, wodurch einzelne Werte nur noch einen engen Bereich abdecken. In einem Fall wird sogar erwähnt, dass der private Schlüssel schlicht der Ziffer 4 entsprach. Wenn private Schlüssel reproduzierbar sind, können Angreifer im Prinzip gültige TLS-Zertifikate für beliebige Domains erzeugen und damit Vertrauensketten unterlaufen.
Genau an dieser Stelle greifen die Risikoabschätzungen anwendungsnah: Mit „legitim“ signierten Zertifikaten sind Man-in-the-Middle-Angriffe leichter durchführbar, weil Clients die verschlüsselte Verbindung dann nicht mehr aufgrund der Zertifikatsprüfung blockieren. Dadurch lassen sich potenziell Sitzungen übernehmen oder gefälschte Webseiten und Schnittstellen so darstellen, dass sie für Nutzer und Systeme wie echte Ziele wirken. Insgesamt sind in der Darstellung acht Zwischenzertifikate betroffen, darunter sechs TLS-Zertifikate sowie zwei Zertifikate zur Codesignierung. Auch wenn Betriebssystem- und Browserhersteller die generellen Schutzmechanismen grundsätzlich verbessern, bleibt die reale Wirkung davon abhängig, wie schnell und wie vollständig die jeweiligen Trust-Stores aktualisiert werden.
Die Reaktionen der Plattformbetreiber sind in der Meldung zeitlich ziemlich klar skizziert: Eine indische Sicherheitsbehörde (CERT-In) habe vor gefälschten Websites sowie digital signierter Schadsoftware gewarnt. Gleichzeitig hätten große Hersteller ihre Maßnahmen bereits wenige Tage nach der ersten Bekanntgabe umgesetzt. In der konkreten Chronologie blockierten Chrome und Firefox die betroffenen Zertifikate am 17. Oktober 2026, Apple zog mit Sperren am 19. Oktober nach, und Microsoft folgte am 20. Oktober. eMudhra selbst soll die acht Zwischenzertifikate am 18. Oktober 2026 offiziell widerrufen und die Zertifikatsausstellung unter dem G3-Root eingestellt haben.
Für Android wird der Schutz laut Darstellung über Google Play Services ausgeliefert, wobei ein Neustart des Mobilgeräts die Aktualisierung der Vertrauensgrundlage unmittelbar anstoßen soll. Entscheidend ist aber der praktische Haken: Browser, Betriebssysteme und einzelne Apps nutzen nicht zwingend exakt denselben Trust-Store. Deshalb können allgemeine System- oder App-Updates zwar helfen, garantieren aber nicht, dass jede Komponente wirklich alle bereinigten Zertifikatslisten übernimmt. Auch Anwendungen, die Kryptografie-Validierung selbst implementieren – etwa bestimmte Kryptowährungs-Apps oder automatisierte Trading-Programme – könnten unter Umständen weiterhin schwache Zertifikate akzeptieren. Für den Samsung Browser bedeutet das: Solange kein passendes Sicherheitsupdate vorliegt, sollten sicherheitskritische Dienste wie Behördenportale oder Zahlungsabwicklungen nicht ausschließlich über diesen Browser genutzt werden.
Der Markttrend dahinter ist weniger ein „einmaliges Problem“, sondern ein Muster: Kompromittierte Zertifikatsketten wirken wie eine Vertrauenskrise im Infrastruktur-Baustein des Webs. Deshalb lohnt es sich für Betreiber und Entwickler, ihre Zertifikatsbestände konsequent zu prüfen und betroffene Ketten unter dem eMudhra-Stammzertifikat zeitnah zu ersetzen. In der Quelle wird zudem angeführt, dass Google die vollständige Entfernung des betroffenen Roots bis zum 27. Oktober 2026 vorsieht. Für Unternehmen heißt das vor allem: Zertifikate und Client-Vertrauen sind nicht nur ein IT-Thema, sondern auch ein Betriebsrisiko – insbesondere dort, wo mobile Clients, spezialisierte Apps oder eigene TLS-Implementierungen im Spiel sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Samsung Browser vertraut weiter kompromittierten eMudhra-Zertifikaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Samsung Browser vertraut weiter kompromittierten eMudhra-Zertifikaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Samsung Browser vertraut weiter kompromittierten eMudhra-Zertifikaten« bei Google Deutschland suchen, bei Bing oder Google News!