КриптоЛампа
Браузеры и ОС заблокировали уязвимые сертификаты eMudhra
Восемь промежуточных сертификатов eMudhra оказались уязвимы из-за ошибки генерации ключей. Google, Mozilla, Apple и Microsoft отозвали к ним доверие.
Google, Mozilla, Apple и Microsoft заблокировали восемь уязвимых промежуточных сертификатов индийского удостоверяющего центра eMudhra. Google и Mozilla начали блокировку 17 октября, Apple — 19 октября, Microsoft — 20 октября. Шесть сертификатов предназначались для HTTPS, еще два — для подписи программного кода.
Причиной стала ошибка при генерации ключей в апреле 2025 года. Вместо случайных больших чисел приватные ключи получили значения меньше 256, поэтому их можно было восстановить перебором не более 256 вариантов. Исследователь под псевдонимом Wayne подтвердил владение ключами всех восьми сертификатов. Уязвимость затрагивала реализацию генерации ключей, а не стойкость алгоритма P-384.
По заявлению eMudhra, в рабочей инфраструктуре использовался один из восьми сертификатов. Google сообщила, что до блокировки в публичных журналах Certificate Transparency не было TLS-сертификатов, выпущенных через шесть затронутых центров. Подтверждений атак на пользователей Chrome, Firefox, Edge и Safari нет; Cloudflare также не обнаружила атак на свои сервисы.
Mozilla решила исключить корневой сертификат emSign ECC Root CA — G3 из хранилища NSS, Google приняла аналогичное решение для Chrome Root Store. Массовое распространение изменения Chrome запланировано на 27 октября. eMudhra обязалась прекратить выпуск сертификатов через этот корень и перевести клиентов на альтернативную инфраструктуру; предварительно замена потребуется примерно для 30 000 сертификатов.
Разобраться в теме новости
Address poisoning: как подменяют похожий адрес в истории
Почему нельзя копировать получателя из случайного перевода. Как проверять полный адрес, собственную адресную книгу и реквизиты перед отправкой криптовалюты.
Открыть инструкцию ПОШАГОВО
Биржа или личный кошелёк: где хранить криптовалюту
Как сравнить биржевой баланс и самостоятельное хранение: контроль ключей, восстановление доступа, ограничения вывода и подготовка к первой отправке.
Открыть инструкцию ПОШАГОВОЧто делать при споре в P2P-сделке: оплата, доказательства и поддержка
Как действовать при задержке выдачи криптовалюты или споре об оплате P2P: сохранить доказательства, выбрать официальный канал и не ухудшить положение повторным платежом.
Открыть инструкцию