У компании, которая ручается за веб-сайты, были настолько слабые секретные ключи, что 8 из них были взломаны

Интернет пытается залатать дыру в системе, которая сообщает вашему браузеру, какие веб-сайты являются настоящими. Риск является общим и в основном падает на людей, использующих устаревшее программное обеспечение, включая пользователей криптовалюты.

Все началось 17 октября, когда исследователь сообщил производителям браузеров, что 8 секретных ключей индийской компании eMudhra, которая ручается за веб-сайты, были скомпрометированы.

Исследователь по имени Уэйн сообщил об уязвимости безопасности и, чтобы доказать уязвимость, он использовал все 8 скомпрометированных ключей для цифровой подписи своего предупреждающего сообщения: «У нас здесь проблема, Уэйн».

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Когда пользователь посещает веб-сайт, его браузер проверяет цифровой сертификат, чтобы подтвердить подлинность сайта. Эти сертификаты выдают компании, называемые центрами сертификации, и одна из них- eMudhra. По данным The Register, она выдала более 60 млн сертификатов.

Каждый центр сертификации подписывает свои сертификаты закрытым ключом. Думайте об этом как о мастер-штампе. Если кто-то украдет или взломает эту печать, он сможет подделать аутентичные сертификаты для любого веб-сайта.

Пользователи криптовалют также могут быть затронуты, хотя в основном за пределами браузера. Боты биржи, торговые скрипты и серверные части кошельков часто работают на Python, Node или Go, а поддельный сертификат для биржи API теоретически может позволить злоумышленнику прочитать или изменить трафик бота в той же сети. О криптовалютных атаках пока не сообщалось.

Но, по словам Мудита Гупты, технического директора Polygon Labs, большую озабоченность вызывает не сама криптовалюта, а устаревшее программное обеспечение.

«Это не проблема, связанная с криптовалютой, — сказал Гупта. — Это общая проблема, которую можно использовать для атак типа «человек посередине», особенно против клиентов, использующих старое или непропатченное программное обеспечение. Пользователи криптовалют, которые обновляют свои кошельки, торговые инструменты и устройства, сталкиваются с меньшим риском, но более широкая экосистема программного обеспечения по-прежнему остается проблемой».

Экстренные исправления

Производители браузеров и разработчики программного обеспечения выпустили экстренные исправления. Mozilla получила отчет только 17 октября после 20:00. Примерно через три часа UTC была заблокирована. В тот же день Chrome заблокировал сертификаты. Apple последовала за ними 19 октября, а Microsoft — 20 октября. eMudhra также отозвала их.

Браузер Mozilla предупредил, что сетевые перехватчики могут использовать эти поддельные сертификаты, чтобы выдавать себя за доверенные сайты, позволяя им читать или изменять данные пользователя.

Как им достались ключи, до сих пор неясно.

«По мнению исследователей, eMudhra использовала крошечные целые числа, такие как 4, 56 и 237, в качестве закрытых ключей вместо надежных 384-битных случайных чисел», — сообщили Cyber Security News на X.

Исследователь безопасности Скотт Хельм пошел еще дальше.

«Один из закрытых ключей центра сертификации eMudhra — номер 4, — написал он. — Еще один — 56, а другой — 115».

Правильный ключ — это огромное случайное число, которое никто не сможет угадать. Хельме говорит, что он восстановил все 8 публичных сертификатов менее чем за секунду и ключи были раскрыты с апреля 2025 года.

Точная механика того, как произошла такая катастрофа, была изложена в Официальном бюллетене безопасности Mozilla. В прочтении Хельме сообщения об ошибке Mozilla говорится, что eMudhra обвинила ошибку в своем скрипте настройки ключей.

Настоящее беспокойство лежит за пределами браузера. Многие программы никогда не проверяют, отозван ли сертификат.

«Поэтому тот факт, что eMudhra и Sectigo отменили эти промежуточные продукты, им совершенно не помогает», — написал Хельме.

Он говорит, что его тесты показали, что такие инструменты, как Curl, Python, Node, Go и Java, приняли поддельный сертификат для API Stripe. Выпущены исправления для Go, пакета CertiFi Python и корневых каталогов webpki Rust. На момент последней проверки Node.js по-прежнему находился в состоянии ожидания.

Источник