КриптоЛампа
Браузеры и ОС заблокировали уязвимые сертификаты eMudhra
Восемь промежуточных сертификатов eMudhra оказались уязвимы из-за ошибки генерации ключей. Google, Mozilla, Apple и Microsoft отозвали к ним доверие.
Google, Mozilla, Apple и Microsoft заблокировали восемь уязвимых промежуточных сертификатов индийского удостоверяющего центра eMudhra. Google и Mozilla начали блокировку 17 октября, Apple — 19 октября, Microsoft — 20 октября. Шесть сертификатов предназначались для HTTPS, еще два — для подписи программного кода.
Причиной стала ошибка при генерации ключей в апреле 2025 года. Вместо случайных больших чисел приватные ключи получили значения меньше 256, поэтому их можно было восстановить перебором не более 256 вариантов. Исследователь под псевдонимом Wayne подтвердил владение ключами всех восьми сертификатов. Уязвимость затрагивала реализацию генерации ключей, а не стойкость алгоритма P-384.
По заявлению eMudhra, в рабочей инфраструктуре использовался один из восьми сертификатов. Google сообщила, что до блокировки в публичных журналах Certificate Transparency не было TLS-сертификатов, выпущенных через шесть затронутых центров. Подтверждений атак на пользователей Chrome, Firefox, Edge и Safari нет; Cloudflare также не обнаружила атак на свои сервисы.
Mozilla решила исключить корневой сертификат emSign ECC Root CA — G3 из хранилища NSS, Google приняла аналогичное решение для Chrome Root Store. Массовое распространение изменения Chrome запланировано на 27 октября. eMudhra обязалась прекратить выпуск сертификатов через этот корень и перевести клиентов на альтернативную инфраструктуру; предварительно замена потребуется примерно для 30 000 сертификатов.
Разобраться в теме новости
Как посмотреть разрешения токенов кошелька без подключения
Как проверить доступы смарт-контрактов к токенам через публичный адрес: выбор сети, лимиты, распорядители и отличие просмотра от отзыва разрешений.
Открыть инструкцию ПОШАГОВО
Как проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию ОБЪЯСНЯЕМКак защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор