Технокомпании блокируют восемь уязвимых сертификатов eMudhra

Крупные технологические компании оперативно заблокировали восемь промежуточных сертификатов удостоверяющего центра eMudhra Limited из Индии. Как выяснилось, процесс генерации приватных ключей для этих сертификатов настроили с ошибкой — ключи можно было угадать и подделать с их помощью HTTPS-сертификаты практически любого сайта.

Инженер по криптографии Mozilla Деннис Джексон рассказал в отчёте об инциденте, что компания самостоятельно восстановила приватные ключи после того, как в субботу получила уведомление об уязвимости. По его словам, процесс генерации ключей оказался «дефектным» и «легко эксплуатируемым».

Злоумышленник, перехватив соединение пользователя, мог использовать поддельные сертификаты, чтобы выдать себя за легитимный сайт и читать или менять передаваемые данные, отметили в Mozilla.

Firefox заблокировал сертификаты через механизм OneCRL в тот же день, когда получил уведомление, и выпустил обновление браузера для десктопа и Android. Cloudflare узнала о проблеме в понедельник и во вторник обновила Cloudflare One, WARP Clients и Cloudflare Tunnel. По словам Джексона, в Chrome сертификаты блокируются с субботы, на устройствах Apple — с понедельника, на платформах Microsoft — со вторника.

Джексон подчеркнул: доказательств атак через браузеры Firefox, Chrome, Edge и Safari нет — в логах Certificate Transparency с апреля 2025 года записей об использовании этих сертификатов не нашли. Но многие приложения за пределами браузерной экосистемы такие логи не проверяют, поэтому неизвестно, эксплуатировали ли уязвимость против них.

Инцидент напоминает взлом голландского удостоверяющего центра DigiNotar в 2011 году, когда хакеры выпустили 531 поддельный SSL-сертификат и получили доступ к примерно 300 000 аккаунтов Gmail в Иране, выдавая себя за Google.