Компрометація восьми ключів підпису індійського центру сертифікації eMudhra виявила прогалину між захистом браузерів і програмним забезпеченням, що працює за вебсайтами та торговими інструментами. Станом на двадцять перше жовтня провідні виробники браузерів заблокували уражені сертифікати, але деякі програми поза браузерами все ще могли приймати підроблені облікові дані, оскільки не перевіряли, чи відкликано сертифікати.
Основні висновки
- Дослідники відновили вісім слабких закритих ключів, які можна було використати для підписання сертифікатів, що видавали себе за сертифікати довірених вебсайтів.
- Виробники браузерів заблокували уражені сертифікати, але саме відкликання не захищає програмне забезпечення, яке його не перевіряє.
- Про атаки на криптовалюту не повідомлялося; занепокоєння стосується застарілого програмного забезпечення в ширшому інтернеті.
Зміст
- Де після витоку ключів eMudhra зберігається вразливість
- Які засоби захисту вже стали доступні користувачам?
- Як слабкі ключі підірвали перевірку вебсайтів
- Чому торговому програмному забезпеченню потрібна окрема увага
- Висновок
Де після витоку ключів eMudhra зберігається вразливість
Важливо розрізняти відкликання сертифіката та гарантію того, що програмне забезпечення відмовиться йому довіряти. eMudhra відкликала уражені сертифікати, але дослідник кібербезпеки Скотт Гелм попередив, що цей крок не захищає програми, які не перевіряють статус відкликання.
Гелм повідомив, що під час його тестів curl, Python, Node, Go та Java приймали підроблений сертифікат для API Stripe. Це була демонстрація прийняття сертифіката, а не свідчення того, що Stripe зазнала зламу.
Шахрайський сертифікат може дозволити перехоплювачу мережевого трафіку видавати себе за довірений сервіс і читати або змінювати дані. Блокування в браузерах закриває цей шлях у захищених браузерах, але не доводить, що всі окремі програми чи серверні системи отримали рівноцінний захист.
| Пункт | Деталі |
|---|---|
| Mozilla та Chrome | Обидва браузери заблокували уражені сертифікати сімнадцятого жовтня; Mozilla запровадила блокування приблизно через три години після повідомлення. |
| Apple | Відреагувала дев’ятнадцятого жовтня. |
| Microsoft | Відреагувала двадцятого жовтня. |
| Відкликання сертифікатів | eMudhra відкликала уражені сертифікати, але цей захід допоможе лише за умови, що програмне забезпечення перевіряє статус відкликання. |
| Доступні виправлення для програм поза браузерами | Виправлення були доступні для Go, пакета certifi для Python і webpki-roots для Rust. |
| Node.js | Станом на двадцять перше жовтня виправлення ще не було готове. |
Які засоби захисту вже стали доступні користувачам?
Реагування почалося після того, як дослідник на ім’я Вейн повідомив виробників браузерів сімнадцятого жовтня. Він продемонстрував контроль над усіма вісьмома скомпрометованими ключами, використавши їх для цифрового підписання свого попередження. Наявність виправлень не означала, що їх уже встановили в усіх системах.
Як слабкі ключі підірвали перевірку вебсайтів
Центри сертифікації видають облікові дані, за допомогою яких браузери перевіряють ідентичність вебсайтів. Тому їхні закриті ключі підпису мають іншу функцію, ніж звичайний пароль вебсайту: скомпрометований ключ підпису можна використати для створення справжніх на вигляд сертифікатів для інших сайтів.
Гелм повідомив, що відновив усі вісім ключів із публічних сертифікатів менш ніж за секунду. Серед виявлених значень закритих ключів були 4 і 56, що демонструє, наскільки слабкий опір ці ключі чинили під час відновлення. За його словами, вони були відкриті з квітня 2025 року.
За словами Гелма, згідно з його прочитанням тікета про помилку Mozilla, eMudhra пояснила інцидент помилкою у скрипті налаштування ключів.
Чому торговому програмному забезпеченню потрібна окрема увага
Для користувачів криптовалют потенційна вразливість не обмежується відкриттям біржі в браузері. Біржові боти, торгові скрипти та серверні системи гаманців можуть використовувати уражене програмне забезпечення, що працює поза браузером. Теоретично підроблений сертифікат API біржі міг би дозволити зловмиснику в тій самій мережі перехоплювати або змінювати трафік бота.
Про атаки на криптовалюту не повідомлялося. Технічний директор Polygon Labs Мудіт Гупта заявив, що вразливість стосується загальної безпеки програмного забезпечення, а не лише криптовалют, і що особливе занепокоєння викликає застаріле або неоновлене програмне забезпечення. За його словами, користувачі, які оновлюють гаманці, торгові інструменти та пристрої, наражаються на менший ризик.
Висновок
Реагування браузерів закрило безпосередній шлях для видавання себе за власника сертифіката, але не розв’язало ширшу проблему програмного забезпечення. Подальший рівень ризику залежить від того, чи відхиляють окремі інструменти скомпрометовані облікові дані, а не лише від того, чи відкликав їх емітент.
Читайте також
Застереження
Ця стаття FinanceVelix містить загальну інформацію, а не персоналізовані фінансові, інвестиційні, юридичні чи податкові поради. Ринкові ціни, процентні ставки та економічні умови можуть змінюватися; інвестиції пов’язані з ризиком збитків. Факти відображають інформацію, доступну на момент публікації, і можуть змінитися. Самостійно перевіряйте важливу інформацію та за потреби звертайтеся до кваліфікованого фахівця. Згадка про актив, компанію чи послугу не є схваленням.
