СреднийII Кибервойна и критическая инфраструктура20 октября 2026 г., вторник
Браузеры отозвали доверие к 8 промежуточным сертификатам индийского центра eMudhra
20 октября Mozilla и Google подтвердили компрометацию закрытых ключей 8 промежуточных сертификатов eMudhra; Chrome, Firefox, Apple, Microsoft и Go заблокировали их в период с 17 по 20 октября.
По сообщению The Hacker News от 20 октября, исследователь под именем Wayne вечером 17 октября подписал сообщение каждым из ключей и тем самым доказал, что владеет закрытыми ключами 8 промежуточных сертификатов. Промежуточный сертификат — это звено, которое подписывает сертификаты, предъявляемые сайтами; обладатель этих 8 ключей может выпускать поддельные HTTPS-сертификаты, которые браузеры примут. Из 8 сертификатов 6 предназначались для веб-сайтов (TLS), а 2 — для подписи кода.
Chrome ввёл блокировку 17 октября в 19:45 UTC, Mozilla — в тот же день в 22:59 UTC; Apple последовала 19 октября, Microsoft — 20 октября. Go 20 октября выпустил экстренные исправления в версиях 1.27.3 и 1.26.10, а для 1.25 и более ранних исправлений не будет. Mozilla и Chrome также решили отозвать доверие к корневому сертификату emSign ECC Root CA - G3. До блокировки Chrome не обнаружил в журналах прозрачности сертификатов (Certificate Transparency) ни одного сертификата сайта, привязанного к этим 6 промежуточным.
Согласно записи об ошибке Mozilla под номером 2083449, eMudhra 18 октября отозвала 8 промежуточных сертификатов и сообщила, что перевыпуск потребуется примерно для 30 000 сертификатов, 97% которых выданы по автоматическому протоколу ACME. О первопричине есть 2 противоречащих объяснения. eMudhra говорит, что на церемонии генерации ключей по ошибке использовали вторую, слабую пару ключей с похожей маркировкой. Анализ инженера Mozilla Денниса Джексона показывает, что закрытые ключи P-384 представляли собой целые числа меньше 256.
Оценка Talay
Вывод
Браузеры ввели блокировку менее чем за 5 часов, а в журналах прозрачности сертификатов следов злоупотребления нет, поэтому прямой ущерб выглядит ограниченным. Главная цена — исключение корневого сертификата из доверенных: около 30 000 сертификатов придётся перевести на новую цепочку, а в необновлённых системах появятся ошибки соединения. Два разных объяснения первопричины делают вероятной проверку и других корней eMudhra.
Возможные последствия
- Цифровое доверие в ИндииНегативно1–6 месяцев
Бренд emSign компании eMudhra выдаёт сертификаты и для веба, и для подписи кода; потеря 8 ключей подрывает репутацию индийских удостоверяющих центров в корневых программах.
- Корпоративные ИТНегативноНедели
Для Go 1.25 и ранее исправлений нет, программы нужно пересобирать; в устаревшем ПО и встроенных системах риск незаблокированной цепочки сохранится неделями.
- Корневые программыНеопределённо1–6 месяцев
Chrome не нашёл похожей ошибки ни у одного другого центра; инцидент ускорит ужесточение правил аудита церемоний генерации ключей.
Вероятные сценарии
- 1Корень G3 исключён, инцидент закрыт55 %
Злоупотреблений не обнаруживается, emSign ECC Root CA - G3 удаляется из браузеров, клиенты переходят на новую цепочку.
Что отслеживать: Отчёт Mozilla о первопричине и 43-я версия корневого хранилища Chrome
- 2Проверка расширяется35 %
Ограничения доверия вводятся и для других корней eMudhra, включая проверяемый Chrome emSign Root CA - G1.
Что отслеживать: Решение Chrome или Mozilla об ограничении или удалении emSign Root CA - G1
- 3Злоупотребление вскрывается10 %
В реальной среде обнаруживается поддельный сертификат, выпущенный этими ключами, и инцидент превращается из компрометации сертификатов в кампанию атак.
Что отслеживать: Обнаружение поддельной цепочки emSign в журналах прозрачности сертификатов или в отчётах об угрозах
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Скомпрометированные промежуточные▲ 8
- Сертификаты к перевыпуску▲ ~30 000