Безопасность 21 октября 2026, 09:25 МСК

Заблокированы восемь промежуточных TLS-сертификатов eMudhra со слабыми закрытыми ключами

Разработчики браузеров и приложений заблокировали восемь промежуточных TLS-сертификатов индийского удостоверяющего центра eMudhra, чьи закрытые ключи оказались тривиально слабыми.

Ключи на кривой NIST P-384 должны иметь энтропию около 384 бит, но у eMudhra они принимали значения вроде 4, 56, 66, 115, 155, 156, 230 и 237. Специалисты показали проблему, создав цифровую подпись фразы «We have a problem here — Wayne» этими ключами. Теоретически с их помощью можно выпускать поддельные сертификаты, которым доверяли бы сайты и устройства.

По данным журналов прозрачности, злонамеренного использования ключей пока не зафиксировано. Для атаки нужен перехват трафика по схеме «человек посередине», что требует серьёзных возможностей, хотя в локальной сети сделать это проще.

Многие проекты уже выпустили обновления; пока исключением остаётся Edge под Windows 10, в Microsoft обещали прокомментировать ситуацию позже. Устранение последствий может затянуться: обновлений годами не получают IoT-устройства, старые Linux-серверы, контейнеры Docker и утилиты со своими наборами корневых сертификатов. Масштаб работы сравнивают с устранением Heartbleed 2014 года.

• Затронуты восемь сертификатов eMudhra Limited
• Случаев злоупотребления пока не обнаружено
• Edge под Windows 10 пока не обновлён