Через недолік у сертифікатах eMudhra Google, Mozilla, Apple і Microsoft заблокували уражені сертифікати в період із 17 до 20 жовтня 2026 року після того, як дослідники відновили приватні ключі підпису для восьми проміжних сертифікатів. Google також оголосила про ширше видалення кореневого сертифіката eMudhra; розгортання на пристроях, що покладаються на Chrome Root Store, очікувалося 27 жовтня.
Ключові висновки
- Приватні ключі для восьми проміжних сертифікатів можна було легко відновити: шість призначалися для захисту вебсайтів, а два — для підпису коду.
- До блокування Chrome у відкритих журналах не було TLS-сертифікатів, ланцюжок довіри яких вів до шести уражених проміжних сертифікатів; масштаби ризику за межами контролю прозорості сертифікатів залишаються невизначеними.
- Заплановане видалення кореневого сертифіката з Chrome може також порушити роботу легітимних сертифікатів, тому операторам уражених вебсайтів доведеться їх замінити.
Зміст
- Як недолік у сертифікатах eMudhra підірвав довіру
- Що встановили екстрені блокування — і чого вони не довели
- Ширше видалення кореневого сертифіката встановлює строк для його заміни
- Висновок
Як недолік у сертифікатах eMudhra підірвав довіру
Уражені ключі центру сертифікації, що базується в Індії, було згенеровано 30 квітня 2025 року. Інженер Mozilla Денніс Джексон повідомив, що всі вісім ключів мали цілі значення менші за 256, тож їх можна було відновити майже миттєво замість того, щоб забезпечувати випадковість, очікувану від надійних криптографічних ключів.
Mozilla самостійно відновила ключі 17 жовтня, підтвердивши висновки дослідника. Володіння ураженими ключами підпису TLS могло б дозволити зловмиснику підробляти сертифікати, видаючи себе за вебсайти перед клієнтами, які й надалі довіряли цим центрам сертифікації.
У своєму описі першопричини eMudhra пояснила проблему скриптом генерації ключів, який створив другу, слабшу пару ключів із подібною міткою. Цю пару помилково використали для запиту на підписання сертифіката; помилки операторів виникли на кількох етапах процесу.
| Сторона | Деталі |
|---|---|
| Chrome | Заблокував уражені відкриті ключі 17 жовтня 2026 року. |
| Firefox | Завершив блокування через OneCRL о 22:59 UTC 17 жовтня. |
| eMudhra | Позначила вісім уражених сертифікатів як відкликані 18 жовтня. |
| Apple | Запровадила блокування 19 жовтня. |
| Microsoft | Запровадила блокування 20 жовтня. |
Що встановили екстрені блокування — і чого вони не довели
Chrome заблокував уражені відкриті ключі за допомогою механізму CRLSet, захистивши користувачів без потреби оновлювати чи перезапускати браузер. Firefox того ж дня застосував блокування через OneCRL, а згодом eMudhra відкликала вісім сертифікатів.
Google повідомила, що до блокування в журналах Certificate Transparency не було TLS-сертифікатів, ланцюжок довіри яких вів до шести уражених проміжних сертифікатів. Тому, за словами компанії, шахрайські сертифікати від цих центрів сертифікації не могли бути використані проти клієнтів, які дотримуються вимог щодо ведення таких журналів, зокрема Chrome.
Цей висновок не встановлює, чи зловживали ключами в інших середовищах. Програмне забезпечення поза браузерами не обов’язково застосовує вимоги прозорості сертифікатів або отримує еквівалентні оновлення блокувань, тож масштаби будь-якого попереднього ризику залишаються невизначеними.
Ширше видалення кореневого сертифіката встановлює строк для його заміни
В оголошенні Google про захист користувачів Chrome та Android також ішлося про видалення emSign ECC Root CA – G3 із Chrome Root Store. Широке розгортання очікувалося 27 жовтня 2026 року, а раніше зміни мали стати доступними в попередніх каналах випуску.
Цей ширший крок має значення, оскільки деякі легітимні сертифікати, ланцюжок довіри яких веде до цього кореневого сертифіката, також перестануть працювати в Chrome. Google повідомила, що операторам уражених вебсайтів необхідно отримати й установити замінні TLS-сертифікати з іншої ієрархії, включеної до її сховища кореневих сертифікатів; eMudhra зобов’язалася допомогти абонентам із переходом.
Google також повідомила, що з’ясовує, чи варто й надалі включати решту центрів сертифікації eMudhra до Chrome Root Store. Перевірка тривала; це не означало завершеного видалення всіх центрів сертифікації eMudhra.
Висновок
Негайні блокування сертифікатів усунули ризик, пов’язаний із відомими слабкими ключами, але ширші заходи з виправлення ситуації ще тривали. Наступним запланованим етапом мало стати розгортання видалення кореневого сертифіката з Chrome 27 жовтня, що могло вплинути на легітимні сайти, які не замінили сертифікати, прив’язані до видаленого кореневого сертифіката.
Читайте більше новин
Застереження
Ця стаття FinanceVelix містить загальну інформацію та не є персоналізованою фінансовою, інвестиційною, юридичною чи податковою консультацією. Ринкові ціни, процентні ставки й економічні умови можуть змінюватися; інвестиції пов’язані з ризиком збитків. Факти відображають матеріали, доступні на момент публікації, і можуть змінитися. Самостійно перевіряйте важливу інформацію та за потреби звертайтеся до кваліфікованого фахівця. Згадка про актив, компанію чи послугу не є рекомендацією.
