Исследователи безопасности сообщили о серьезном инциденте: восемь промежуточных сертификатов удостоверяющего центра eMudhra оказались скомпрометированы. Утечка закрытых ключей позволяет злоумышленникам выдавать себя за любой веб-сайт или сервис, перехватывая защищенный трафик пользователей. Эти сертификаты связаны с корневыми центрами сертификации, которым доверяют Apple, Google, Microsoft и Mozilla.
Оперативная реакция разработчиков
Факт компрометации был официально подтвержден 17 октября после того, как независимый исследователь продемонстрировал владение закрытыми ключами, подписав ими проверочное сообщение. В ответ на это ведущие разработчики браузеров и операционных систем начали блокировку скомпрометированных ключей:
- Chrome и Firefox внесли сертификаты в черные списки 17 октября.
- Apple реализовала блокировку 19 октября.
- Microsoft добавила соответствующие обновления 20 октября.
Хотя eMudhra отозвала скомпрометированные сертификаты, многие системы не проверяют информацию об отзыве автоматически. Это означает, что пользователям необходимо обновить браузеры и ОС до последних версий для получения актуальных списков доверия.
Рекомендации для пользователей и администраторов
Для большинства пользователей своевременная установка обновлений является достаточной мерой защиты. Однако в некоторых случаях, например, в macOS или определенных дистрибутивах Linux, встроенные инструменты могут не сразу подхватить изменения. В таких ситуациях экспертам рекомендуется вручную добавить скомпрометированные корневые сертификаты в «черный список» системы.
Разработчикам и системным администраторам рекомендуется проверить свои инфраструктуры на наличие доверия к затронутым промежуточным узлам. Информацию об идентификаторах скомпрометированных сертификатов и соответствующие инструкции можно найти в профильных репозиториях, посвященных безопасности сертификатов. На текущий момент работа по устранению последствий инцидента продолжается в рамках взаимодействия с операторами хранилищ доверенных сертификатов.
Источник: emudhra.we-have-a-problem.com