Компании заблокировали восемь уязвимых сертификатов eMudhra

Что произошло

Разработчики браузеров и другие технологические компании развернули защиту против восьми промежуточных сертификатов, выпущенных индийским удостоверяющим центром eMudhra Limited. Причиной стала недостаточно безопасная генерация их закрытых ключей.

Инженер Mozilla по криптографии Dennis Jackson сообщил, что Mozilla самостоятельно восстановила закрытые ключи после получения информации о проблеме в субботу. По его оценке, механизм генерации был дефектным и простым для эксплуатации.

Какие меры приняли компании

Команда безопасности Mozilla Firefox заблокировала сертификаты через OneCRL в тот же день, когда получила сообщение о проблеме. Затем Mozilla выпустила обновление браузера для Desktop и Android с пользовательскими настройками, которые не позволяли получать обновление OneCRL.

Cloudflare сообщила о проблеме в понедельник и во вторник выпустила обновления для Cloudflare One, WARP Clients и Cloudflare Tunnel, а также дополнительные меры защиты своих сервисов.

По словам Jackson, сертификаты были заблокированы в Chrome с субботы, на устройствах Apple — с понедельника, а на платформах Microsoft — со вторника.

Почему это важно

Поддельные сертификаты могли позволить злоумышленнику выдать себя за легитимный сайт при перехвате соединения пользователя, а также прочитать или изменить передаваемые данные.

Угроза сохраняется для приложений и систем, которые не получают блокировки автоматически. При этом свидетельств атак на Firefox, Chrome, Edge и Safari не обнаружено: с апреля 2025 года в журналах прозрачности сертификатов не было записей по этим промежуточным сертификатам.