Крупнейшие производители браузеров и поставщики облачных решений для защиты уже ввели экстренные блокировки для восьми промежуточных TLS-сертификатов, выданных индийским центром сертификации eMudhra Limited. Исследователи установили, что процесс генерации ключей для этих сертификатов был flawed и «чрезвычайно простым для эксплуатации». Mozilla сообщила, что после получения уведомления о проблеме смогла восстановить затронутые закрытые ключи, подчеркнув, что злоумышленники потенциально могли выдавать себя за владельцев легитимных сайтов.
Этот инцидент напоминает, что сбои инфраструктуры открытых ключей (PKI) не ограничиваются одним браузером. Хотя многие организации оперативно добавили сертификаты в списки блокировки, Mozilla предупреждает, что риск может сохраняться для систем и приложений, которые не получают эти обновления автоматически.
Ключевые выводы
По словам Mozilla, уязвимые промежуточные сертификаты eMudhra могли позволить злоумышленникам выдавать себя за легитимные сайты, используя атаки типа «человек посередине».
Технологические компании отреагировали, заблокировав все восемь сертификатов в основных браузерах и на платформах, включая Firefox, Chrome, устройства Apple и среды Microsoft.
Mozilla внедрила защиту с помощью OneCRL, а также выпустила обновления браузера, чтобы пользователи получили необходимые меры защиты.
Mozilla подчёркивает, что явных доказательств активной эксплуатации уязвимости против браузеров нет, однако клиенты, не являющиеся браузерами, всё ещё могут быть под угрозой.
Почему уязвимость сертификатов eMudhra имеет значение
По словам инженера-криптографа Mozilla Денниса Джексона, проблема с сертификатами возникла из-за процесса генерации ключей, который был «ошибочным» и «тривиальным для эксплуатации». В отчёте об инциденте Джексон сообщает, что вскоре после получения первого уведомления в субботу специалисты Mozilla самостоятельно восстановили закрытые ключи, что помогло подтвердить наличие уязвимости.
Если злоумышленник может перехватить соединение пользователя, он может предъявить поддельные сертификаты и выдать себя за настоящие веб-сайты. Mozilla объясняет, что такое притворство может позволить злоумышленникам читать или изменять информацию, передаваемую во время сеанса, — в зависимости от способа проведения атаки и защит, применяемых в целевой среде.
Именно этот потенциальный ущерб стал главной причиной срочных мер, принятых в хранилищах доверенных сертификатов: доверие к сертификатам лежит в основе механизмов, с помощью которых браузеры и многие клиентские приложения определяют подлинность конечного узла.
Как защиту внедрили в браузерах и на платформах
Команда безопасности Firefox в Mozilla сообщила, что получила уведомление в субботу и оперативно заблокировала затронутые промежуточные сертификаты в Firefox с помощью OneCRL, завершив эту работу в тот же день. Затем Mozilla выпустила обновления Firefox для настольных компьютеров и Android.
Mozilla также сообщила, что в обновления вошли специальные настройки, призванные не допустить, чтобы некоторые пользователи остались без защиты OneCRL. Это важно, поскольку блокировка сертификатов зависит не только от наличия самого запрета, но и от того, получают ли клиентские конфигурации изменения блокировки своевременно.
Cloudflare, которая также управляет инфраструктурой безопасности веб-трафика, сообщила, что узнала о проблеме в понедельник. Во вторник компания выпустила обновления для Cloudflare One и клиентов WARP, а также для Cloudflare Tunnel и внедрила меры защиты в связанных сервисах.
Джексон также заявил, что сертификаты заблокировали в Chrome в субботу, на устройствах Apple — в понедельник, а на платформах Microsoft — во вторник. Иными словами, за несколько дней несколько экосистем доверия перешли от выявления проблемы к применению блокировок в хранилищах сертификатов.
Что известно об эксплуатации уязвимости — и что остаётся неясным
Джексон заявил, что нет доказательств атак на Firefox, Chrome, Edge или Safari этим способом. Он указал на отсутствие записей о промежуточных сертификатах в журналах прозрачности сертификатов начиная с апреля 2025 года.
Однако инженер Mozilla также предупредил, что многие клиенты за пределами браузерной экосистемы не проверяют сертификаты с помощью Certificate Transparency. Это означает, что отсутствие записей в журналах не исключает риск полностью: злоумышленники всё ещё могут атаковать системы, использующие другие методы проверки.
В том же обсуждении инцидента Джексон отметил, что многие нижестоящие клиенты не выполняют аналогичные проверки прозрачности, и добавил: «мы не знаем, использовали ли злоумышленники уязвимость в генерации ключей для атак на эти клиенты». Для организаций это подчёркивает распространённую асимметрию PKI: браузеры могут обеспечивать более строгие механизмы защиты, тогда как пользовательские клиенты, встроенные системы и устаревшие корпоративные компоненты — нет.
Уроки прошлых инцидентов с центрами сертификации
Реакция на инцидент с eMudhra напоминает о прошлых сбоях в работе хранилищ доверия — прежде всего о взломе DigiNotar в 2011 году. Тогда злоумышленники скомпрометировали центр сертификации и выпустили сотни поддельных SSL-сертификатов, что позволило им выдавать себя за пользователей и следить за ними.
Хотя нынешний инцидент связан с другим набором сертификатов и имеет иное происхождение, практический вывод остаётся тем же: если ключи центра сертификации используются ненадлежащим образом или генерируются с ошибками, злоумышленники могут создавать правдоподобные сертификаты, которые обойдут примитивные средства защиты.
Особенно важно, что Mozilla подчёркивает: блокировки могут распространяться не автоматически. Это имеет большое значение для корпоративных сред, где внутренние прокси-серверы, специализированные клиенты и частные стеки приложений могут работать иначе, чем распространённые браузеры.
Далее читателям стоит следить за подтверждением того, что заблокированные сертификаты полностью удалены из всех основных хранилищ доверия клиентских приложений, а также за рекомендациями по оценке риска для клиентов, не являющихся браузерами и, возможно, не использующих Certificate Transparency. Дальнейшие риски связаны уже не столько с браузерами — меры защиты для них в основном приняты, — сколько с любыми системами, которые полагаются на решения о доверии и не получают обновления блокировок автоматически.
Эта статья впервые была опубликована под заголовком «Технологические гиганты блокируют 8 сертификатов eMudhra, связанных с поддельными сайтами» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и блокчейне.