Восемь секретных ключей индийской компании eMudhra, удостоверяющей подлинность веб-сайтов, оказались скомпрометированы — злоумышленники теоретически могли создавать поддельные сертификаты для перехвата трафика. Браузеры и разработчики ПО спешно выпускают исправления, чтобы защитить пользователей от поддельных сайтов.
Восемь ключей eMudhra взломаны из-за слабости шифрования
Компания eMudhra выполняет функции удостоверяющего центра (УЦ) — организации, которая выдаёт цифровые сертификаты для подтверждения подлинности сайтов. Восемь её секретных ключей оказались настолько слабыми, что были взломаны. Это означает, что злоумышленники теоретически могли создавать поддельные сертификаты для перехвата трафика.
Инцидент затронул инфраструктуру, от которой зависит доверие к защищённым соединениям. Браузеры и производители программного обеспечения уже работают над устранением уязвимости.
Скомпрометированные ключи УЦ позволяют злоумышленникам выдавать себя за легитимные сайты и перехватывать данные пользователей.
Браузеры отзывают сертификаты и обновляют корневые списки
После обнаружения проблемы браузеры и разработчики ПО начали срочно выпускать обновления. Пользователям рекомендуется установить последние версии своих браузеров, чтобы снизить риск.
Процесс исправления включает отзыв скомпрометированных сертификатов и обновление списков доверенных корневых сертификатов. Это стандартная практика при подобных инцидентах.
Проверьте наличие обновлений для вашего браузера и операционной системы — установка патчей закрывает уязвимость.
Symantec и DigiNotar: как прошлые взломы УЦ меняли правила игры
Случай с eMudhra подчёркивает уязвимость цепочки доверия в интернете. Удостоверяющие центры являются краеугольным камнем безопасности веб-соединений, и компрометация их ключей ставит под угрозу миллионы пользователей.
Подобные инциденты случались и раньше, например, с Symantec и DigiNotar, что приводило к ужесточению требований к УЦ. Текущий случай может ускорить переход на более стойкие алгоритмы и ужесточить аудит.
Остаётся неясным, сколько времени ключи были уязвимы и успели ли ими воспользоваться. Дальнейшие шаги регуляторов и отраслевых консорциумов пока не объявлены — ключевой вопрос, введут ли они обязательную сертификацию алгоритмов генерации ключей для всех УЦ.