Үнді сертификат орталығының кілті 4 саны болып шықты

Үндістанның eMudhra куәландыру орталығы сегіз аралық сертификатының жабық кілттерін өрескел қатемен жасаған. Сондықтан оларды кез келген адам қалпына келтіре алады. Кілттердің бірі жай ғана 4 саны болып шықты. Мұндай кілтпен шабуылдаушы кез келген сайтқа жалған сертификат шығарып, сол сайттың атын жамылуы мүмкін еді. Браузерлер мен операциялық жүйелер бұл сертификаттарға сенуді тоқтатты.

Куәландыру орталығы сертификат береді, ал браузер сол арқылы сайттың шын екенін тексереді. eMudhra өз дерегі бойынша 60 млн-нан астам цифрлық сертификат шығарған. Оның алтауы HTTPS-ке арналған аралық сертификат, екеуі бағдарламаларға қол қоюға арналған. Олар 2025 жылғы сәуір мен мамырда шыққан. Бұл сертификаттар Mozilla, Microsoft, Apple және Google сенетін түбірлік сертификаттарға апарады.

P-384 эллиптикалық қисығындағы кілт 384 биттік кездейсоқ сан болуы керек, яғни оның шамамен 10¹¹⁵ нұсқасы бар. Қауіпсіздік зерттеушісі Скотт Хельме eMudhra-да бұлай емес екенін анықтады. «4-тен басталатын сан да емес, артынан жүздеген кездейсоқ цифр тұрған 4 те емес, жай ғана 4», — деп жазды ол. Басқа кілттер 56 мен 115 болып шықты, кейін 66, 155, 156, 230 және 237 табылды. Хельме оларды өз ноутбугінде бір секундқа жетпей қалпына келтірген.

Қалай анықталды

17 қазанда өзін Уэйн деп атаған зерттеуші браузерлердің сенім бағдарламаларына хабарлады. Дәлел ретінде ол сегіз кілттің әрқайсысымен «We have a problem here» деген хабарламаға қол қойды. Толық мәліметті Mozilla криптография тобынан Деннис Джексон жариялады. eMudhra сертификаттарды 18 қазанда кері қайтарып алды. 19 қазанда олардың Sectigo түбірі растаған көшірмелері де кері қайтарылды. eMudhra The Register сұрауларына жауап бермеді.

Джексонның айтуынша, сертификаттардың ашықтық журналдарында бұл кілттер арқылы сертификат шыққаны туралы жазба жоқ. Сондықтан Firefox, Chrome, Edge және Safari пайдаланушыларына шабуыл жасау мүмкін болмаған. Ал басқа бағдарламаларға мұндай кепілдік жоқ. Шабуылдаушылар осы қатені пайдаланып үлгерді ме, белгісіз.

Firefox пен Chrome бұл сертификаттарды 17 қазаннан, Apple 19-ынан, Microsoft 20-сынан бастап бұғаттап отыр. Көп бағдарлама сертификаттың кері қайтарылғанын тексермейді, сондықтан оларға жаңарту керек. Ubuntu, Debian, Fedora, Alpine, curl, Python-ның certifi кітапханасы мен Go үшін түзетулер шығып қойды. Пайдаланушыларға браузер мен операциялық жүйені соңғы нұсқаға дейін жаңартуға кеңес беріледі.

Дереккөздер: Деннис Джексон — eMudhra кілттерінің бұзылуына талдау, The Register — eMudhra кілттері бұзылды