eMudhra відкликала ще вісім проміжних сертифікатів через обробку ключів
Центр сертифікації eMudhra відкликав ще вісім проміжних сертифікатів після розслідування інциденту з безпекою приватних ключів. Загальна кількість порушених проміжних сертифікатів сягнула 16: у восьми з них приватні ключі були настільки слабкими, що їх можна було відновити практично миттєво.
Як повідомляє BleepingComputer, обидві групи сертифікатів зазнали впливу спеціального Python-скрипту, який у квітні 2025 року використовували для перенесення ключів між апаратними модулями безпеки — HSM. Такі модулі призначені для безпечного створення та зберігання криптографічних ключів без їхнього розкриття поза захищеним обладнанням.
За даними eMudhra, скрипт створили через затримки з отриманням нового обладнання та потребу перенести ключі центру сертифікації між HSM різних виробників. Через помилку в програмі вісім приватних ключів ECDSA були зведені до одного байта, що зробило їх надзвичайно простими для відновлення.
Той самий скрипт також обробив вісім приватних ключів RSA. Їхня криптографічна стійкість не була послаблена, однак чутлива інформація про ключі оброблялася у пам’яті комп’ютера, на якому запускався скрипт, а не залишалася в межах HSM. Компанія заявила, що не може підтвердити відповідність такої процедури власним політикам безпеки сертифікатів.
Додаткові вісім RSA-сертифікатів eMudhra відкликала 7 листопада. Серед них були сертифікати, що використовувалися для випуску TLS-сертифікатів і сертифікатів підпису коду. Частина цих проміжних сертифікатів випускала сертифікати з травня 2026 року, а останній із них був виданий 3 листопада. Компанія повідомила, що пов’язані клієнтські сертифікати замінили або перенесли.
Розслідування також встановило, що в червні 2025 року eMudhra виявила списки відкликаних сертифікатів, підписані ключами, які не відповідали відповідним сертифікатам центру сертифікації. Тоді проблему виправили, підписавши списки належними ключами, але причину не дослідили. Тепер компанія визнала це ранньою ознакою дефекту процесу генерації ключів.
Про початковий інцидент стало відомо 17 жовтня 2026 року, коли дослідник безпеки під псевдонімом Wayne виявив можливість відновити вісім ключів eMudhra, перевіривши лише 256 варіантів. Mozilla, Google, Apple та інші постачальники програмного забезпечення запровадили захист від скомпрометованих сертифікатів, а Microsoft 26 жовтня випустила позапланові оновлення Windows для відкликання довіри до відповідних ланцюгів сертифікатів.
eMudhra заявила, що не виявила ознак зловмисного використання скомпрометованих ключів. Компанія також оголосила про вихід із ринку публічно довірених TLS-сертифікатів, плануючи припинити випуск сертифікатів у решті ієрархії G1 до 16 листопада. Незалежну перевірку процедур керування сертифікатами та генерації ключів проводить KPMG; її висновки очікують до 4 грудня.
- Останні
- Популярні
Новини по днях
12 листопада 2026
