Ключи восьми промежуточных TLS-сертификатов индийского центра сертификации eMudhra оказались скомпрометированы. С ними злоумышленник может выдать себя за любой сайт в интернете, и браузер покажет «безопасное» соединение. Chrome, Firefox, Safari и Windows уже заблокировали эти сертификаты, но для остального софта чистка только начинается. Что такое сертификат и зачем он нужен Когда вы открываете сайт биржи или The post Раскрыты ключи ко всему интернету — что известно о провале eMudhra appeared first on BeInCrypto.
Ключи восьми промежуточных TLS-сертификатов индийского центра сертификации eMudhra оказались скомпрометированы. С ними злоумышленник может выдать себя за любой сайт в интернете, и браузер покажет «безопасное» соединение.
Chrome, Firefox, Safari и Windows уже заблокировали эти сертификаты, но для остального софта чистка только начинается.
Хотите еще эксклюзивных новостей и аналитики? Подписывайтесь на наш телеграм-канал, обсуждайте новости и делитесь мнениями о последних событиях рынка в чате!
Когда вы открываете сайт биржи или банка, браузер проверяет его «паспорт» — TLS-сертификат. Если паспорт настоящий, браузер рисует замочек в адресной строке и шифрует все, что вы отправляете. Так вы понимаете, что попали на настоящий сайт.
Паспорта выдают центры сертификации. Для этого у каждого центра есть промежуточный сертификат с секретным ключом. Этим ключом он подписывает паспорта обычных сайтов. Если ключ попадет в чужие руки, с его помощью можно выписать настоящий на вид паспорт для любого сайта, хоть для Google.
17 октября исследователь под именем Вейн отправил в команды безопасности Mozilla, Microsoft, Apple и Google доказательство утечки. Он подписал фразу «We have a problem here» секретными ключами восьми сертификатов eMudhra. Подпись сходилась. Это означало, что ключи ему известны.
Браузеры отреагировали быстро. Firefox и Chrome заблокировали сертификаты в тот же день, Apple — 19 октября, Microsoft — 20-го. Затем информацию опубликовали на сайте emudhra.we-have-a-problem.com. Его ведет Дэннис Джексон, участник разбора инцидента.
Причина оказалась не во взломе, а в ошибке самого центра. Секретный ключ — это огромное случайное число. Для стандарта, который использовала eMudhra, у него должно быть около 384 бит случайности, то есть число со 116 знаками. У ключей eMudhra случайности было от 3 до 8 бит. Сами ключи оказались числами 4, 56, 66, 115, 155, 156, 230 и 237. Их можно было вычислить прямо из сертификатов.
Филиппо Вальсорда, инженер-криптограф и один из разработчиков языка Go, заявил, что такого просто не должно быть, и предположил, что в настройках генератора ключей по ошибке поставили размер 1. Бен Картрайт-Кокс, директор сервиса BGP.tools, предположил, что в рабочую систему случайно попал пример кода из документации.
Сертификаты выпустили в апреле 2025 года. Полтора года любой, кто догадался бы проверить ключи, мог подделывать сайты. Хорошая новость: в логах Certificate Transparency, где фиксируется выпуск каждого браузерного сертификата, подделок нет. Значит, через Chrome, Firefox, Safari и Edge пользователей не атаковали.
Плохая новость: браузеры — только часть интернета. Многие программы не проверяют, отозван ли сертификат, и просто доверяют встроенному списку. Это клиенты систем перенаправления интернет-трафика, консольные утилиты, языки программирования, Docker-контейнеры, умные устройства и забытые серверы. Их придется обновлять по одному. Вальсорда сравнил масштаб уборки с Heartbleed — уязвимостью 2014 года, последствия которой разгребали годами. По его словам, сейчас будет хуже, потому что затронутых систем больше.
Известно, что мессенджеры Signal, WhatsApp и протокол WireGuard не пострадали. Они не используют TLS для шифрования.
С поддельным сертификатом злоумышленник может встать между вами и сайтом биржи или кошелька. Он будет читать ваш трафик, включая логины, пароли и коды подтверждения, а вы увидите замочек и ничего не заподозрите.
Но для этого атакующий должен контролировать ваш канал связи. Такая возможность есть у того, кто сидит в той же публичной сети Wi-Fi, у провайдера и у государства.
В Ars Technica отметили, что самый острый риск сейчас у пользователей инструментов обхода интернет-блокировок в странах, где власти перехватывают трафик.
Защита для обычного пользователя сводится к обновлениям:
Мохамед Мансур, инженер Chromium в Microsoft, пояснил, что если проверка не проходит, нужно открыть страницу chrome://components, найти компонент CRLSet и нажать «Проверить обновления». Для Edge актуальная версия компонента 6498.2026.10.20, для Chrome — 10849.
Тем временем в сети обсуждают еще одну проблему в сфере интернет-безопасности. Разработчики PHP объявили об экстренных патчах для двух критических уязвимостей. Две громкие истории совпали по времени.
Дыра в PHP позволяет взломать сам сервер сайта и захватить его. Проблема с eMudhra сервер не трогает. Она позволяет подменить сайт для конкретного пользователя, если атакующий контролирует его трафик.
Защита тоже разная: от PHP защищаются владельцы сайтов, обновляя сервер, от eMudhra — пользователи, обновляя браузер и систему.
The post Раскрыты ключи ко всему интернету — что известно о провале eMudhra appeared first on BeInCrypto.
JOIN
