Технологические гиганты ввели экстренные блокировки для восьми уязвимых цифровых сертификатов, которые могли позволить злоумышленникам выдавать себя за легитимные сайты.
К вторнику разработчики браузеров и другие крупные технологические компании внедрили защиту от восьми промежуточных сертификатов, выданных базирующимся в Индии центром сертификации eMudhra Limited после того, как выяснилось, что их закрытые ключи были недостаточно защищены.
Инженер Mozilla по криптографии Деннис Джексон написал в отчёте об инциденте, что Mozilla самостоятельно восстановила закрытые ключи, когда впервые получила уведомление об уязвимости в субботу, подтвердив, что процесс генерации ключей был «ошибочным» и «тривиальным для эксплуатации».
Согласно Mozilla, злоумышленник, перехвативший соединение пользователя, мог использовать мошеннические сертификаты, чтобы выдать себя за легитимный сайт и потенциально прочитать или изменить передаваемую информацию.
Хотя многие компании быстро заблокировали затронутые сертификаты, угроза сохраняется для приложений и систем, которые не получают такие блокировки автоматически.
Во вторник команда безопасности Mozilla Firefox сообщила в записи блога, что получила отчёт в субботу и ответила блокировкой затронутых сертификатов в Firefox с помощью OneCRL, завершив её в тот же день. Затем Mozilla выпустила обновление браузера для настольных компьютеров и Android, защитив пользователей с пользовательскими настройками, которые не позволяли им получать обновление OneCRL.
Cloudflare сообщила, что узнала об отчёте в понедельник и во вторник выпустила обновления для Cloudflare One, клиентов WARP и Cloudflare Tunnel, одновременно внедрив меры по снижению риска во всех своих сервисах.
Джексон сообщил, что сертификаты также заблокированы в Chrome с субботы, на устройствах Apple — с понедельника, а на платформах Microsoft — со вторника.
«Об этой проблеме было ответственно сообщено операторам доверенных хранилищ 19 октября. Многие уже выпустили обновления или находятся в процессе их выпуска», — сказал он.
По теме: Взлом Hugging Face обнажает парадокс кибербезопасности ИИ с открытыми весами
Джексон сказал, что нет доказательств атак на Firefox, Chrome, Edge и Safari этим способом, поскольку с апреля 2025 года в журналах прозрачности сертификатов не было записей о промежуточных сертификатах.
«Однако многие клиенты за пределами браузерной экосистемы не обеспечивают соблюдение требований Certificate Transparency. Мы не знаем, использовали ли злоумышленники ошибочную генерацию ключей для атак на этих клиентов», — сказал он.
Этот инцидент напоминает о взломе DigiNotar в 2011 году — крупной кибератаке, в ходе которой хакеры взломали нидерландский центр сертификации и выпустили 531 мошеннический SSL-сертификат.
Эти поддельные сертификаты позволили злоумышленникам выдавать себя за Google и шпионить примерно за 300 000 иранских аккаунтов Gmail.
Журнал: Агенты могут торговать 24/7 — но Ят Сиу предупреждает: доступ можно потерять в любой момент