Восемь промежуточных TLS-сертификатов индийского центра сертификации eMudhra оказались защищены приватными ключами с энтропией всего от 3 до 8 бит. Это означает, что скомпрометированные TLS-сертификаты потенциально позволяли выпустить доверенный сертификат для любого интернет-домена — и перехватывать защищённый трафик при атаке «человек посередине». Для российских команд это не экзотическая история из чужого интернета: под ударом оказываются корпоративные Linux-хосты, контейнеры, VPN и устройства с редко обновляемыми хранилищами корневых сертификатов.
О проблеме сообщает Ars Technica. По данным издания, восемь промежуточных сертификатов принадлежат eMudhra Limited. О наличии доступа к одному из ключей стало известно после публикации неформального уведомления: его подписали этим самым ключом. К моменту выхода материала основные разработчики браузеров, а также часть крупных приложений и языковых экосистем уже заблокировали все восемь сертификатов. В журналах прозрачности сертификатов на тот момент не нашли признаков их злонамеренного использования.
Масштаб сбоя объясняется ролью промежуточного сертификата в инфраструктуре доверия. Браузер не обязан знать конкретный сайт заранее: он проверяет цепочку от сертификата сайта к доверенному центру сертификации. Если атакующий контролирует ключ промежуточного сертификата, он может подписать новый сертификат для чужого домена, и клиент, который ещё не получил отзыв, примет его как легитимный. Это не взлом одного сайта и не утечка пароля от панели управления — это дефект на уровне механизма, которым веб доказывает, что разговаривает именно с нужным сервером.
Цифры здесь выглядят почти как опечатка. Нормальный приватный ключ на эллиптической кривой NIST P-384 имеет примерно 384 бита энтропии, то есть порядка 2384 возможных вариантов. У проблемных ключей eMudhra значения составляли 4, 56, 66, 115, 155, 156, 230 и 237. Фактический диапазон — от 3 до 8 бит. Перебор таких вариантов не требует инфраструктуры государства или бюджета облачного провайдера: ключи настолько слабы, что их можно восстановить практически мгновенно.
Криптограф и сопровождающий языка Go Филиппо Вальсорда сравнил предстоящую уборку с Heartbleed и предположил, что она может оказаться даже сложнее. Причина не в браузерах: они умеют быстро доставлять блоклисты. Длинный хвост составляют дистрибутивы Linux, образы Docker, автономные утилиты с собственными наборами доверенных сертификатов, сетевое оборудование и IoT. Их обновление зависит не от одного вендора, а от администраторов, производителей и команд, которые годами не трогали старый образ или прошивку.
Для разработчиков и инфраструктурных команд полезный вывод довольно приземлённый. Нужно проверить, как именно сервисы получают и обновляют trust store: используют ли системный пакет, тащат ли собственный CA bundle в контейнере, не зашит ли набор сертификатов в бинарник или образ устройства. Отдельно стоит убедиться, что обновлены VPN-клиенты, агенты мониторинга, CLI-инструменты и интеграции, которые устанавливают TLS-соединения вне браузера. Пользователям веб-приложений исправление может приехать вместе с обновлением браузера; серверным и embedded-системам такого везения ждать не приходится.
Риск не означает, что любой трафик в интернете уже читают. Для эксплуатации атакующему нужно занять позицию между двумя сторонами TLS-соединения, перехватить шифрованный поток, расшифровать его и отправить дальше. Это проще для владельца локальной сети — например, в офисе, университете или публичной точке доступа — и доступнее хорошо оснащённым операторам сетевой инфраструктуры. При этом Signal, WhatsApp и WireGuard, которые не полагаются на TLS для конфиденциальности, в описанном сценарии не затронуты.
История с eMudhra снова показывает неприятную математику публичной инфраструктуры ключей: один дефектный промежуточный сертификат способен превратить глобальную цепочку доверия в задачу по инвентаризации забытых систем. Скомпрометированные TLS-сертификаты уже отозваны там, где обновления приходят быстро; теперь главный вопрос — сколько клиентов с устаревшим хранилищем доверия продолжат принимать поддельные цепочки через недели и месяцы после инцидента.
