Недолік сертифіката eMudhra змусив Google, Mozilla, Apple та Microsoft заблокувати постраждалі сертифікати з 17 по 20 жовтня 2026 року після того, як дослідники відновили приватні ключі підпису для восьми проміжних сертифікатів. Google також оголосила про ширше видалення кореневого сертифіката eMudra, випуск на всіх пристроях, що базуються на Chrome Root Store, очікується 27 жовтня.
Ключові висновки
- Вісім проміжних сертифікатів мали легко відновлювані приватні ключі: шість для безпеки вебсайтів і два для підписання коду.
- Жоден TLS-сертифікат, що з'єднувався з шістьма постраждалими проміжними моделями, публічно не реєструвався до блокування Chrome; вплив поза контролем прозорості сертифікатів залишається невизначеним.
- Заплановане видалення root Chrome також може порушити легітимні сертифікати, змусивши операторів сайтів замінити їх.
Зміст
- Як недолік сертифіката eMudhra вплинув на довіру
- Що саме робили аварійні блоки — і чого не встановили
- Ширше видалення коренів створює крайній термін заміни
- Висновок
Як недолік сертифіката eMudhra вплинув на довіру
Відповідні ключі цього сертифікаційного центру з Індії були згенеровані 30 квітня 2025 року. Інженер Mozilla Денніс Джексон сказав, що всі вісім використовували цілі числа менше 256, що робить їх відновлюваними майже миттєво, а не забезпечуючи випадковість, яку очікують у захищених криптографічних ключах.
Mozilla незалежно відновила ключі 17 жовтня, підтвердивши висновки дослідника. Володіння зачепленими ключами підпису TLS може дозволити зловмиснику підробити сертифікати, які видавали себе за вебсайти для клієнтів, які все ще довіряли цим органам.
У своєму корінному обліку eMudhra пояснила проблему скриптом генерації ключів, який створив другу, слабшу пару ключів із подібною міткою. Ця пара була помилково використана для запиту на підписання сертифікатів, з людськими помилками на кількох етапах процесу.
| Предмет | Деталі |
|---|---|
| Хром | Заблоковані порушені публічні ключі 17 жовтня 2026 року. |
| Firefox | Завершив блокування OneCRL о 22:59 UTC 17 жовтня. |
| eMudhra | Відзначено вісім постраждалих сертифікатів, анульованих 18 жовтня. |
| Apple | Запровадило свій блок 19 жовтня. |
| Microsoft | Впровадило свій блок 20 жовтня. |
Що саме робили аварійні блоки — і чого не встановили
Chrome заблокував уражені публічні ключі через свій механізм CRLSet, захищаючи користувачів без необхідності оновлення браузера чи перезавантаження. Того ж дня Firefox розгорнув блок OneCRL, а eMudhra згодом скасував вісім сертифікатів.
Google повідомила, що жоден TLS-сертифікат, що з'єднується з шістьма постраждалими проміжними агентами, не з'являвся у журналах прозорості сертифікатів перед блокуванням. Тому компанія заявила, що шахрайські сертифікати від цих органів не могли бути використані проти клієнтів, які виконують ці вимоги до логування, включаючи Chrome.
Це висновки не встановлює, чи були ключі зловживані в інших місцях. Програмне забезпечення, що не є браузером, не обов'язково забезпечує прозорість сертифікатів або отримує відповідні блокуючі оновлення, залишаючи невирішеним обсяг будь-яких попередніх проблем.
Ширше видалення коренів створює крайній термін заміни
Оголошення Google про захист Chrome та Android також описувало видалення emSign ECC Root CA – G3 з Chrome Root Store. Широкий реліз очікувався 27 жовтня 2026 року, з ранішою доступністю на каналах пререлізу.
Ця ширша дія має значення, оскільки деякі легітимні сертифікати, що ланцюжки підключені до цього кореня, також перестануть працювати в Chrome. Google заявила, що оператори сайтів, які постраждали, повинні отримати та встановити замінні TLS-сертифікати з іншої ієрархії, включеної до його кореневого сховища, і що eMudhra зобов'язалася допомогти абонентам мігрувати.
Google також повідомила, що розслідує, чи слід залишити сертифікаційні центри eMudhra й надалі включати до Chrome Root Store. Цей огляд триває, а не повністю усунення всіх органів eMudhra.
Висновок
Негайні блокування сертифікатів вирішили відомі слабкі ключі, але ширша корекція залишалася в процесі. Наступним запланованим етапом стало впровадження видалення кореня в Chrome 27 жовтня, що могло вплинути на легітимні сайти, які не замінили сертифікати, пов'язані з видаленим коренем.
Читати більше новин
Відмова від відповідальності
У цій статті FinanceVelix надається загальна інформація, а не персоналізована фінансова, інвестиційна, юридична чи податкова консультація. Ринкові ціни, процентні ставки та економічні умови можуть змінюватися; інвестиції несуть ризик втрати. Факти відображають матеріали, доступні при публікації, і можуть змінюватися. Перевіряйте важливу інформацію самостійно та консультуйтеся з кваліфікованим фахівцем за потреби. Згадка про актив, компанію чи послугу не є схваленням.
