Hi!
Der eMudhra intermediate CA sind wohl die privaten Schlüssel für ihre Zertifikate abhanden gekommen.
Das erlaubt aktuell das ausstellen falscher SSL (HTTPS) Zertifikate, solange verschiedene Endgeräte die betroffenen CA Zertifikate noch akzeptieren.
Alle Android-Versionen von vor bekanntwerden des Problems (am 19. Oktober) müssten hiervon definitiv betroffen sein, also auch ShiftOS.
Die betroffenen Zertifikate lassen sich in Android (zumindest ShiftOS L) in den Einstellungen deaktivieren:
Settings -> Security and privacy -> More security and privacy -> Encryption & credentials -> Trusted credentials
Deaktiviert werden sollten die Zertifikate "Comodo AAA Services root", "emSign ECC Root CA -G3", "emSign Root CA - C1" und "emSign ECC Root CA - C3".
Unter folgendem Link lässt sich prüfen, ob die kompromittierten Zertifikate noch akzeptiert werden:
Da der manuelle Prozess nicht so offensichtlich ist und erfordert, dass Nutzer überhaupt darüber Bescheid wissen, würde ich mich sehr freuen, wenn hier sehr bald ein Sicherheitsupdate kommen könnte, das die betroffenen Zertifikate entfernt
Der eMudhra intermediate CA sind wohl die privaten Schlüssel für ihre Zertifikate abhanden gekommen.
Das erlaubt aktuell das ausstellen falscher SSL (HTTPS) Zertifikate, solange verschiedene Endgeräte die betroffenen CA Zertifikate noch akzeptieren.
Alle Android-Versionen von vor bekanntwerden des Problems (am 19. Oktober) müssten hiervon definitiv betroffen sein, also auch ShiftOS.
Die betroffenen Zertifikate lassen sich in Android (zumindest ShiftOS L) in den Einstellungen deaktivieren:
Settings -> Security and privacy -> More security and privacy -> Encryption & credentials -> Trusted credentials
Deaktiviert werden sollten die Zertifikate "Comodo AAA Services root", "emSign ECC Root CA -G3", "emSign Root CA - C1" und "emSign ECC Root CA - C3".
Unter folgendem Link lässt sich prüfen, ob die kompromittierten Zertifikate noch akzeptiert werden:
Da der manuelle Prozess nicht so offensichtlich ist und erfordert, dass Nutzer überhaupt darüber Bescheid wissen, würde ich mich sehr freuen, wenn hier sehr bald ein Sicherheitsupdate kommen könnte, das die betroffenen Zertifikate entfernt
