Из-за уязвимости сертификатов eMudhra Google, Mozilla, Apple и Microsoft заблокировали затронутые сертификаты в период с 17 по 20 октября 2026 года после того, как исследователи восстановили закрытые ключи подписи для восьми промежуточных сертификатов. Google также объявила о более масштабном удалении корневого сертификата eMudhra. Развертывание обновления на устройствах, использующих Chrome Root Store, ожидалось 27 октября.
Ключевые выводы
- Закрытые ключи восьми промежуточных сертификатов было легко восстановить: шесть предназначались для защиты веб-сайтов, два — для подписи кода.
- До блокировки Chrome в общедоступных журналах не было TLS-сертификатов, построенных на основе цепочки доверия к шести затронутым промежуточным сертификатам; степень возможного использования вне систем, обеспечивающих соблюдение требований прозрачности сертификатов, остается неясной.
- Запланированное удаление корневого сертификата из Chrome может нарушить работу и легитимных сертификатов, поэтому операторам затронутых сайтов потребуется заменить их.
Содержание
- Как уязвимость сертификатов eMudhra подорвала доверие
- Что установили экстренные блокировки — и чего они не установили
- Более масштабное удаление корневого сертификата устанавливает срок для замены
- Заключение
Как уязвимость сертификатов eMudhra подорвала доверие
Затронутые ключи индийского центра сертификации были созданы 30 апреля 2025 года. Инженер Mozilla Деннис Джексон сообщил, что все восемь ключей использовали целые числа меньше 256, благодаря чему их можно было восстановить почти мгновенно, вместо того чтобы обеспечивать требуемую для криптографической безопасности случайность.
Mozilla независимо восстановила ключи 17 октября, подтвердив выводы исследователя. Обладание затронутыми ключами подписи TLS могло позволить злоумышленнику подделывать сертификаты, выдавая себя за веб-сайты перед клиентами, которые продолжали доверять этим центрам сертификации.
В своем описании первопричины eMudhra связала проблему со скриптом генерации ключей, который создал вторую, более слабую пару ключей с похожей меткой. Эту пару по ошибке использовали для запроса на подпись сертификата; на нескольких этапах процесса были допущены человеческие ошибки.
| Пункт | Подробности |
|---|---|
| Chrome | Заблокировал затронутые открытые ключи 17 октября 2026 года. |
| Firefox | Завершил блокировку через OneCRL в 22:59 UTC 17 октября. |
| eMudhra | Пометила восемь затронутых сертификатов как отозванные 18 октября. |
| Apple | Ввела блокировку 19 октября. |
| Microsoft | Ввела блокировку 20 октября. |
Что установили экстренные блокировки — и чего они не установили
Chrome заблокировал затронутые открытые ключи с помощью механизма CRLSet, защитив пользователей без необходимости обновлять или перезапускать браузер. В тот же день Firefox развернул блокировку через OneCRL, после чего eMudhra отозвала восемь сертификатов.
Google сообщила, что до введения блокировки в журналах Certificate Transparency не было TLS-сертификатов, построенных на основе цепочки доверия к шести затронутым промежуточным сертификатам. Поэтому, по словам компании, мошеннические сертификаты от этих центров сертификации не могли использоваться против клиентов, соблюдающих требования к регистрации сертификатов, включая Chrome.
Этот вывод не устанавливает, использовались ли ключи каким-либо образом в других системах. Программное обеспечение, не являющееся браузерным, не обязательно обеспечивает соблюдение требований прозрачности сертификатов или получает эквивалентные обновления блокировок, поэтому масштабы возможного более раннего воздействия остаются неизвестными.
Более масштабное удаление корневого сертификата устанавливает срок для замены
В объявлении Google о защите пользователей Chrome и Android также говорилось об удалении emSign ECC Root CA – G3 из Chrome Root Store. Массовое развертывание ожидалось 27 октября 2026 года, а раньше обновление должно было стать доступно в предварительных каналах.
Эта более масштабная мера важна, поскольку некоторые легитимные сертификаты, построенные на основе цепочки доверия к этому корневому сертификату, также перестанут работать в Chrome. Google сообщила, что операторам затронутых сайтов необходимо получить и установить новые TLS-сертификаты из другой иерархии, включенной в хранилище корневых сертификатов компании. eMudhra обязалась помочь подписчикам перейти на новые сертификаты.
Google также сообщила, что изучает, следует ли и дальше включать остальные центры сертификации eMudhra в Chrome Root Store. Эта проверка продолжалась и не означала завершенного удаления всех центров сертификации eMudhra.
Заключение
Незамедлительная блокировка сертификатов устранила угрозу со стороны известных слабых ключей, однако более масштабные меры по устранению последствий еще продолжались. Следующим запланированным этапом было развертывание удаления корневого сертификата в Chrome 27 октября, которое могло затронуть легитимные сайты, не заменившие сертификаты, связанные с удаляемым корневым сертификатом.
Читайте другие новости
Отказ от ответственности
Эта статья FinanceVelix содержит общую информацию и не является персональной финансовой, инвестиционной, юридической или налоговой консультацией. Рыночные цены, процентные ставки и экономические условия могут меняться; инвестиции сопряжены с риском убытков. Факты отражают информацию, доступную на момент публикации, и могут измениться. Самостоятельно проверяйте важную информацию и при необходимости обращайтесь к квалифицированному специалисту. Упоминание актива, компании или услуги не является рекомендацией.
