Компрометация восьми ключей подписи индийского центра сертификации eMudhra выявила разрыв между защитой браузеров и программным обеспечением, работающим за сайтами и торговыми инструментами. По состоянию на 21 октября крупные разработчики браузеров заблокировали затронутые сертификаты, однако некоторые программы вне браузеров всё ещё могли принимать поддельные учётные данные, поскольку не проверяют, были ли сертификаты отозваны.
Ключевые выводы
- Исследователи восстановили восемь слабых закрытых ключей, которые можно было использовать для подписи сертификатов, выдающих себя за доверенные сайты.
- Разработчики браузеров заблокировали затронутые сертификаты, но один лишь отзыв не защищает программы, которые его не проверяют.
- О криптоатаках не сообщалось; опасения распространяются на устаревшее программное обеспечение в более широкой интернет-среде.
Содержание
- Какие уязвимости оставила утечка ключей eMudhra
- Какие меры защиты уже стали доступны пользователям?
- Как слабые ключи подорвали проверку подлинности сайтов
- Почему торговому ПО требуется отдельное внимание
- Заключение
Какие уязвимости оставила утечка ключей eMudhra
Важно различать отзыв сертификата и обеспечение отказа программного обеспечения доверять ему. eMudhra отозвала затронутые сертификаты, однако исследователь в области безопасности Скотт Хельме предупредил, что эта мера не защищает программы, которые не проверяют статус отзыва.
Хельме сообщил, что в ходе его тестов curl, Python, Node, Go и Java приняли поддельный сертификат для API Stripe. Это была демонстрация принятия сертификата, а не свидетельство взлома Stripe.
Поддельный сертификат может позволить сетевому перехватчику выдать себя за доверенный сервис и читать или изменять трафик. Блокировка сертификатов защищает от этого сценария в браузерах, для которых она применяется, но не гарантирует, что каждая отдельная программа или серверная система получила сопоставимую защиту.
| Пункт | Подробности |
|---|---|
| Mozilla и Chrome | Оба браузера заблокировали затронутые сертификаты 17 октября; Mozilla ввела блокировку примерно через три часа после сообщения. |
| Apple | Компания отреагировала 19 октября. |
| Microsoft | Компания отреагировала 20 октября. |
| Отзыв сертификатов | eMudhra отозвала затронутые сертификаты, но эта мера помогает только в том случае, если программное обеспечение проверяет статус отзыва. |
| Доступные исправления для программ вне браузеров | Исправления были доступны для Go, пакета certifi для Python и webpki-roots для Rust. |
| Node.js | По состоянию на 21 октября исправление ещё ожидалось. |
Какие меры защиты уже стали доступны пользователям?
Реагирование началось после того, как 17 октября исследователь по имени Уэйн оповестил разработчиков браузеров. Он продемонстрировал контроль над всеми восемью скомпрометированными ключами, используя их для цифровой подписи своего предупреждения. Наличие исправлений не означает, что они были установлены во всех системах.
Как слабые ключи подорвали проверку подлинности сайтов
Центры сертификации предоставляют учётные данные, с помощью которых браузеры проверяют подлинность сайтов. Поэтому на их закрытые ключи подписи возложена иная ответственность, чем на обычный пароль сайта: скомпрометированный ключ подписи можно использовать для создания внешне подлинных сертификатов для других сайтов.
Хельме сообщил, что восстановил все восемь ключей из общедоступных сертификатов менее чем за секунду. Среди обнаруженных им значений закрытых ключей были 4 и 56, что показывает, насколько легко их удалось восстановить. По его словам, они оставались уязвимыми с апреля 2025 года.
Согласно трактовке Хельме записи в баг-трекере Mozilla, eMudhra объяснила проблему ошибкой в скрипте настройки ключей.
Почему торговому ПО требуется отдельное внимание
Для пользователей криптовалют уязвимость не ограничивается открытием биржи в браузере. Биржевые боты, торговые скрипты и серверные компоненты кошельков могут использовать затронутое программное обеспечение вне браузеров. Теоретически поддельный сертификат API биржи мог бы позволить злоумышленнику в той же сети перехватывать или изменять трафик бота.
О криптоатаках не сообщалось. Технический директор Polygon Labs Мудит Гупта заявил, что уязвимость представляет собой общую проблему безопасности программного обеспечения, а не специфичную для криптовалют; особую опасность представляет устаревшее или не обновлённое ПО. По его словам, пользователи, которые обновляют кошельки, торговые инструменты и устройства, подвергаются меньшему риску.
Заключение
Реагирование разработчиков браузеров перекрыло непосредственный путь для подмены сертификатов, но не решило более широкую проблему программного обеспечения. Оставшаяся уязвимость зависит от того, отклоняют ли отдельные инструменты скомпрометированные учётные данные, а не просто от того, отозвал ли их издатель.
Читайте также
Отказ от ответственности
Эта статья FinanceVelix содержит общую информацию и не является персональной финансовой, инвестиционной, юридической или налоговой консультацией. Рыночные цены, процентные ставки и экономические условия могут меняться; инвестиции связаны с риском убытков. Факты соответствуют материалам, доступным на момент публикации, и могут измениться. Самостоятельно проверяйте важную информацию и при необходимости обращайтесь к квалифицированному специалисту. Упоминание актива, компании или услуги не является рекомендацией.
