Удостоверяющий центр eMudhra закроет глобальное направление SSL/TLS-сертификатов. Компания объявила об этом 22 октября после обнаружения сертификатов со слабыми закрытыми ключами. Один из ключей равнялся числу 4.
Исследователь Скотт Хелме восстановил все восемь ключей из публичных сертификатов на ноутбуке менее чем за секунду. Для этого не потребовалось проникать в системы компании.
Python и Node.js приняли поддельный сертификат
Шесть затронутых удостоверяющих центров выпускали TLS-сертификаты, ещё два предназначались для подписи кода. Хелме создал сертификат для api.stripe.com и проверил его на локальном сервере. При стандартных настройках curl подтвердил сертификат, Python установил соединение, а Node.js вернул authorized: true. Настоящие серверы Stripe в эксперименте не участвовали.
Обновлённые браузеры заблокировали проблемные сертификаты. Но многие серверные приложения и консольные инструменты по умолчанию не проверяют отзыв и не требуют записи в журнале Certificate Transparency. По объяснению Хелме, таким клиентам нужно обновить хранилище доверенных сертификатов.
eMudhra обещает бесплатно заменить клиентские сертификаты через партнёров. Проверка их статуса будет работать до замены или окончания срока действия. По данным компании, направление приносит около 1% выручки. Причинами ухода она назвала затраты на соблюдение требований и конкуренцию с бесплатными удостоверяющими центрами.
Слабые ключи оставались незамеченными 17 месяцев
По объяснению eMudhra, ключи создали 30 апреля 2025 года на аппаратных модулях безопасности с сертификацией FIPS 140-2 Level 3. Ошибка в процедуре создала дополнительный слабый набор ключей рядом с сильным. В опубликованные сертификаты попал слабый набор.
17 октября 2026 года независимый исследователь сообщил о проблеме компании и разработчикам браузеров. По хронологии Хелме, Chrome заблокировал сертификаты тем же вечером, Firefox — через несколько часов. Mozilla раскрыла проблему публично 20 октября. С момента создания ключей прошло около 17 месяцев.
Компания утверждает, что взлома инфраструктуры и утечки данных не было. Однако слабые ключи можно было восстановить по открытым сертификатам без взлома. eMudhra продолжает расследование и обещает выпустить окончательный отчёт о причинах ошибки.
Комментарии