Восемь секретных ключей индийской компании eMudhra, удостоверяющей подлинность веб-сайтов, были скомпрометированы. Браузеры и разработчики программного обеспечения спешат выпустить исправления
Когда пользователь заходит на сайт, его браузер проверяет цифровой сертификат, чтобы убедиться, что сайт настоящий. Такие сертификаты выдают компании, называемые центрами сертификации; eMudhra — одна из них. По данным The Register, компания выдала более 60 миллионов сертификатов.
Каждый центр сертификации подписывает свои сертификаты закрытым ключом. Представьте себе мастер-штамп. Если кто-то украдёт его или подберёт к нему ключ, он сможет создавать поддельные сертификаты, выглядящие как настоящие, для любого веб-сайта. Как
Пользователи криптовалют тоже могли пострадать, хотя в основном за пределами браузера. Биржевые боты, торговые скрипты и серверные компоненты кошельков часто работают на Python, Node или Go, и поддельный сертификат для API биржи теоретически мог бы позволить злоумышленнику в той же сети читать или изменять трафик бота. О криптовалютных атаках пока не сообщалось.
Разработчики браузеров и программного обеспечения выпустили экстренные исправления. Mozilla получила сообщение только 17 октября после 20:00 UTC и примерно через три часа заблокировала сертификаты. Chrome заблокировал их в тот же день. Apple последовала этому примеру 19 октября, а Microsoft — 20 октября. eMudhra также отозвала сертификаты.
Точные механизмы этой катастрофы изложены в официальном бюллетене безопасности Mozilla. Согласно анализу Хелме, в тикете об ошибке Mozilla сказано, что eMudhra объяснила случившееся ошибкой в скрипте настройки ключей.
Настоящая опасность кроется за пределами браузера. Многие программы вообще не проверяют, был ли сертификат отозван. «Так что отзыв eMudhra и Sectigo этих промежуточных сертификатов совершенно им не помогает», — написал Хелме.
По его словам, тесты показали, что такие инструменты, как curl, Python, Node, Go и Java, принимали поддельный сертификат для API Stripe. Исправления уже выпущены для Go, пакета certifi для Python и webpki-roots для Rust. На момент последней проверки исправление для Node.js ещё ожидалось.