Mozilla, Google, Apple и Microsoft заблокировали восемь сертификатов eMudhra

Mozilla, Google, Apple и Microsoft в срочном порядке заблокировали восемь цифровых сертификатов, выпущенных индийским удостоверяющим центром eMudhra Limited. Приватные ключи к ним генерировались с ошибкой и поддавались подбору, а значит, с их помощью можно было выставить поддельную копию любого сайта, в том числе криптобиржи или кошелька.

Сертификат — цифровой паспорт сайта: браузер сверяет его при подключении и по нему убеждается, что соединение защищено. С поддельным паспортом злоумышленник выдаёт свой сайт за настоящий и получает логины, пароли и коды двухфакторной аутентификации. Для тех, у кого деньги лежат на бирже, это прямой путь к их потере.

Инженер Mozilla Деннис Джексон нашёл проблему 19 октября и независимо восстановил приватные ключи. Он подтвердил, что процесс генерации был «ошибочным» и «элементарно эксплуатируемым».

«Проблема была ответственно доведена до сведения нижестоящих доверенных хранилищ 19 октября. Многие уже выпустили обновления или находятся в процессе их выпуска», — написал Джексон.

Mozilla закрыла сертификаты в Firefox в тот же день. Google перекрыл доступ в Chrome в субботу, Apple — в понедельник, Microsoft — во вторник. Cloudflare выпустила обновления для клиентов во вторник.

Где блокировка не сработала

Обновления получили браузеры, но не приложения вне браузерного периметра — десктопные кошельки, торговые терминалы и другое ПО, которое не обновляется автоматически. По словам Джексона, многие клиенты за пределами браузеров не проверяют журналы прозрачности сертификатов. Были ли среди них атакованные, пока неизвестно.

Случай важен не масштабом, а логикой: пользователи привыкли доверять замку в адресной строке, но ошибка самого удостоверяющего центра ломает эту гарантию. Для крупных операций остаются аппаратные кошельки — они не полагаются на HTTPS при подписи транзакций.