Google и Mozilla заблокировали уязвимые сертификаты eMudhra

Важная новость наделала шума в экосистеме блокчейна. Google, Mozilla, Apple и Microsoft приняли экстренные меры после обнаружения восьми уязвимых промежуточных сертификатов индийского удостоверяющего центра eMudhra. О проблеме стало известно 17 октября. Шесть из них предназначались для HTTPS, еще два — для подписи программного кода.

Из-за слабых приватных ключей злоумышленники потенциально могли подделывать сертификаты для чужих сайтов. Инженеры Mozilla самостоятельно восстановили скомпрометированные ключи, подтвердив, что уязвимость легко эксплуатировать. Промежуточные сертификаты связывают корневой удостоверяющий центр с сертификатами отдельных сайтов.

Динамика рынка

Обладая соответствующим приватным ключом, злоумышленник мог бы выпускать поддельные документы, которые незащищенные клиенты принимали бы за действительные. При возможности перехватить соединение это позволяло выдавать поддельный ресурс за настоящий, читать или изменять передаваемые данные. Например, атакующий мог попытаться имитировать сайт криптобиржи или кошелька.

Причиной возникновения уязвимости стала ошибка при генерации криптографических ключей eMudhra в апреле 2025 года. Сертификаты использовали алгоритм цифровой подписи на эллиптической кривой P-384, однако вместо случайных больших чисел приватные ключи получили значения меньше 256. Фактически для их восстановления достаточно было перебрать не более 256 вариантов.

Проблема заключалась не в криптографической стойкости P-384, а в неправильной генерации ключей. Первым уязвимость обнаружил исследователь под псевдонимом Wayne. Он предоставил разработчикам браузеров доказательства владения приватными ключами всех восьми сертификатов.

Влияние на рынки

eMudhra подтвердила, что проблемные ключи создали во время процедуры генерации в апреле 2025 года. Компания продолжает расследование и утверждает, что приватные ключи корневых удостоверяющих центров и других промежуточных центров не пострадали. Потенциальный риск был масштабным, но подтвержденные последствия значительно меньше.

По данным eMudhra, только один из восьми промежуточных сертификатов использовался в рабочей инфраструктуре. Google также сообщила, что до блокировки в публичных журналах Certificate Transparency не было записей о TLS-сертификатах, выпущенных через шесть затронутых центров. Корпорация заблокировала уязвимые ключи в Chrome 17 октября через механизм CRLSet, который позволяет оперативно отзывать доверие к сертификатам без обновления или перезапуска браузера.

В тот же день Mozilla внесла проблемные сертификаты в OneCRL — централизованный список отзыва Firefox. Согласно сообщению компании, защита достигла пользователей со стандартными настройками менее чем за три часа после получения уведомления.

Эта перемена продолжает формировать ландшафт цифровых активов.