У индийского удостоверяющего центра eMudhra скомпрометированы приватные ключи восьми промежуточных CA. Из-за критической ошибки генерации они оказались элементарными числами (4, 56, 115 и подобными), которые злоумышленники могут легко подобрать методом перебора. Под угрозой оказались более 60 миллионов выданных сертификатов. 

Суть проблемы:
Инцидент подтвердился после того, как независимый исследователь под ником Wayne подписал проверочное сообщение реальным приватным ключом eMudhra. Такая уязвимость позволяет злоумышленникам создавать фальшивые сертификаты для любых сайтов, перехватывать и менять трафик пользователей (MitM-атаки). Фактов реальных атак в логах Certificate Transparency пока не зафиксировано.

Как реагирует индустрия:

• Крупные браузеры (Chrome, Mozilla, Apple, Microsoft) оперативно заблокировали скомпрометированные сертификаты.
• Разработчики Linux-дистрибутивов, языков программирования (Go, Node.js) и утилит (curl, pip) выпускают патчи, исключающие eMudhra из списков доверенных.
• Главная сложность остается со встраиваемыми системами и устройствами интернета вещей (IoT) — обновить их быстро не получится, поэтому угроза безопасности будет сохраняться еще какое-то время.

Что еще почитать по теме: Ошибка при генерации ключей удостоверяющего центра eMudhra позволяла получить TLS-сертификаты для любых сайтов

Источник.

Материал переписан и скомпонован с помощью Gemini.