Google, Mozilla, Apple және Microsoft осал eMudhra сертификаттарын блоктады

Google, Mozilla, Apple және Microsoft үнді сертификаттау органы eMudhra-ның сегіз осал аралық сертификаттарына шұғыл жауап берді, бұл мәселе 17 қазанда белгілі болды. Алты сертификат HTTPS үшін, ал екеуі код қол қою үшін болды. Әлсіз жеке кілттерге байланысты басқа сайттардың сертификаттарын қолдан жасау мүмкін болды және қосылымды ұстап алу кезінде криптовалюта биржасы немесе әмиян сайты сияқты жалған ресурсты түпнұсқа ретінде көрсетуге мүмкіндік берді. Mozilla инженерлері кілттерді өздері қалпына келтіріп, осалдықты пайдалану оңай екенін растады.

Себебі 2025 жылдың сәуірінде кілттерді генерациялау қатесі болды. Сертификаттар P-384 қисық алгоритмін қолданды, бірақ кездейсоқ үлкен сандардың орнына кілттер 256-дан аз мәндерге ие болды, сондықтан брутфорс 256 әрекеттен аспайтын еді. Мәселе P-384 күшінде емес, дұрыс емес генерацияда болды. Осалдықты алғаш рет Уэйн деген лақап атпен зерттеуші анықтап, браузер әзірлеушілеріне барлық сегіз кілттің иелігін дәлелдеді. eMudhra кілттердің 2025 жылдың сәуірінде жасалғанын растады және түпкі және басқа аралық орталықтардың әсер етпегенін мәлімдеді.

Қауіп кең болды, бірақ салдары аз болды: eMudhra-ның айтуынша, сегіз сертификаттың тек біреуі жұмыс инфрақұрылымында қолданылды. Сертификаттың мөлдірлігі арқылы алты зардап шеккен орталықтар арқылы TLS сертификаттарының жазбалары болмады. Chrome 17 қазанда CRLSet арқылы кілттерді бұғаттады, ал Mozilla сол күні оларды OneCRL-ге қосты – қорғау стандартты параметрлері бар пайдаланушыларға үш сағаттан аз уақыт ішінде жетті. Apple сертификаттарды 19 қазанда, ал Microsoft 20 қазанда бұғаттады; Cloudflare WARP және Cloudflare Tunnel жаңартты және CDN және Zero Trust-та қорғауды күшейтті.

Firefox, Chrome, Edge және Safari пайдаланушыларына қарсы пайдалану туралы ешқандай растаулар жоқ, сондай-ақ Cloudflare қызметтеріне шабуыл белгілері жоқ. Дегенмен, Mozilla NSS дүкенінен emSign ECC Root CA – G3 түпкі сертификатын алып тастайды, ал Google 27 қазаннан бастап Chrome Root Store-да да солай жасайды. eMudhra бұл түпкі арқылы шығаруды тоқтатады және клиенттерді басқа инфрақұрылымға көшіреді: шамамен 30,000 сертификатты ауыстыру қажет болады, олардың шамамен 97%-ы ACME арқылы шығарылған.