Индийский удостоверяющий центр eMudhra выпустил восемь промежуточных сертификатов с уязвимыми закрытыми ключами. В сеть попали шесть TLS-сертификатов и два сертификата для подписи кода, чьи ключи имели длину всего 1 байт. Это позволяет злоумышленникам подобрать их методом перебора за доли секунды.
Компрометация ключей дает возможность выдавать себя за любой домен или подписывать вредоносное ПО от лица доверенных разработчиков, таких как Microsoft или Google. Проблема затрагивает широкий спектр устройств, включая серверы, персональные компьютеры, смартфоны, маршрутизаторы и интернет вещей.
Современные браузеры с поддержкой Certificate Transparency могут блокировать использование таких сертификатов, однако многие системы требуют ручного обновления списков отзыва. Особую опасность представляют устаревшие устройства и программное обеспечение, которые могут не получить соответствующие патчи безопасности.
Причины генерации ключей длиной 1 байт в настоящее время расследуются. Специалисты рекомендуют пользователям и администраторам обновить все установленное ПО и операционные системы для исключения доверия к скомпрометированным сертификатам из локальных списков.
