Пропускът в сертификат на eMudhra накара Google, Mozilla, Apple и Microsoft да блокират засегнатите сертификати между 17 и 20 октомври 2026 г., след като изследователи възстановиха частните ключове за подписване на осем междинни сертификата. Google обяви и по-широко премахване на коренов сертификат на eMudhra, като се очаква разпространението на промяната сред устройствата, използващи Chrome Root Store, да започне на 27 октомври.
Основни изводи
- Частните ключове на осем междинни сертификата можеха лесно да бъдат възстановени: шест бяха за сигурност на уебсайтове, а два — за подписване на код.
- Преди блокирането от Chrome в публичните регистри не бяха открити TLS сертификати, чиято верига води до шестте засегнати междинни сертификата; остава неясно дали е имало излагане на риск извън системите за прилагане на изискванията за прозрачност на сертификатите.
- Планираното премахване на кореновия сертификат от Chrome може да засегне и легитимни сертификати, което ще наложи на засегнатите оператори на уебсайтове да ги заменят.
Съдържание
- Как пропускът в сертификат на eMudhra компрометира доверието
- Какво установиха и какво не установиха спешните блокирания
- По-широкото премахване на коренов сертификат създава краен срок за подмяна
- Заключение
Как пропускът в сертификат на eMudhra компрометира доверието
Засегнатите ключове на сертифициращия орган със седалище в Индия са генерирани на 30 април 2025 г. Инженерът на Mozilla Денис Джаксън заяви, че и осемте са използвали цели числа под 256, поради което ключовете можели да бъдат възстановени почти мигновено, вместо да имат очакваната при сигурните криптографски ключове случайност.
На 17 октомври Mozilla независимо възстанови ключовете, потвърждавайки констатациите на изследователя. Притежаването на засегнатите TLS ключове за подписване би могло да позволи на атакуващ да подправя сертификати и да се представя за уебсайтове пред клиенти, които все още се доверяват на тези сертифициращи органи.
В доклада си за първопричината eMudhra обясни проблема със скрипт за генериране на ключове, който създал втора, по-слаба двойка ключове с подобен етикет. Тази двойка била използвана по погрешка за заявката за подписване на сертификат, като на различни етапи от процеса били допуснати човешки грешки.
| Елемент | Подробности |
|---|---|
| Chrome | Блокира засегнатите публични ключове на 17 октомври 2026 г. |
| Firefox | Завърши блокирането чрез OneCRL в 22:59 UTC на 17 октомври. |
| eMudhra | Маркира осемте засегнати сертификата като оттеглени на 18 октомври. |
| Apple | Приложи блокирането си на 19 октомври. |
| Microsoft | Приложи блокирането си на 20 октомври. |
Какво установиха и какво не установиха спешните блокирания
Chrome блокира засегнатите публични ключове чрез механизма си CRLSet, като защити потребителите без необходимост от актуализиране или рестартиране на браузъра. Firefox приложи блокирането чрез OneCRL в същия ден, а впоследствие eMudhra оттегли осемте сертификата.
Google заяви, че преди предприемането на блокиращите мерки в журналите на Certificate Transparency не са се появили TLS сертификати, чиято верига води до шестте засегнати междинни сертификата. Поради това компанията посочи, че измамни сертификати от тези органи не биха могли да бъдат използвани срещу клиенти, които спазват тези изисквания за регистриране, включително Chrome.
Тази констатация не установява дали ключовете са били злоупотребявани по друг начин. Софтуерът извън браузърите не е задължително да прилага изискванията за прозрачност на сертификатите или да получава еквивалентни актуализации за блокиране, затова степента на евентуалното по-ранно излагане на риск остава неясна.
По-широкото премахване на коренов сертификат създава краен срок за подмяна
В съобщението си за защитата на Chrome и Android Google описа и премахването на emSign ECC Root CA – G3 от Chrome Root Store. Очакваше се промяната да бъде широко разпространена на 27 октомври 2026 г., като ще бъде налична по-рано в предварителните версии.
Тази по-широка мярка е важна, защото някои легитимни сертификати, чиято верига води до този коренов сертификат, също ще престанат да работят в Chrome. Google заяви, че засегнатите оператори на уебсайтове трябва да получат и инсталират заместващи TLS сертификати от друга йерархия, включена в хранилището с коренови сертификати на компанията, и че eMudhra се е ангажирала да помогне на абонатите да преминат към нея.
Google заяви също, че разследва дали останалите сертифициращи органи на eMudhra трябва да продължат да бъдат включени в Chrome Root Store. Прегледът все още продължаваше; не ставаше въпрос за завършено премахване на всички органи на eMudhra.
Заключение
Незабавните блокирания на сертификатите отстраниха известния проблем със слабите ключове, но по-широките коригиращи мерки все още бяха в ход. Следващият планиран етап беше разгръщането на премахването на кореновия сертификат от Chrome на 27 октомври, което може да засегне легитимни сайтове, които не са заменили сертификатите, свързани с премахвания коренов сертификат.
Още новини
Отказ от отговорност
Тази статия на FinanceVelix предоставя обща информация, а не персонализиран финансов, инвестиционен, правен или данъчен съвет. Пазарните цени, лихвените проценти и икономическите условия могат да се променят; инвестициите носят риск от загуба. Фактите отразяват наличната към момента на публикуване информация и могат да се променят. Проверявайте самостоятелно важната информация и при необходимост се консултирайте с квалифициран специалист. Споменаването на актив, компания или услуга не представлява препоръка.
