Специалисты по кибербезопасности выявили восемь промежуточных TLS-сертификатов с критически слабыми закрытыми ключами. Сертификаты принадлежат индийскому удостоверяющему центру eMudhra Limited и потенциально позволяли злоумышленникам перехватывать защищенный трафик.
Разработчики браузеров и популярных приложений уже заблокировали скомпрометированные сертификаты. Согласно данным журналов прозрачности, фактов злонамеренного использования этих ключей на текущий момент не зафиксировано.
Причиной уязвимости стала крайне низкая энтропия ключей. Вместо положенных 384 битов для эллиптической кривой NIST P-384, ключи eMudhra имели простые числовые значения, такие как 4, 56, 66, 115, 155, 156, 230 и 237.
Процесс устранения угрозы может занять годы. Обновления требуются не только браузерам, но и критически важным элементам инфраструктуры: дистрибутивам Linux, контейнерам Docker и устройствам интернета вещей, которые часто не получают патчи долгое время.
Браузер Edge под управлением Windows 10 пока не получил соответствующего обновления. В Microsoft пообещали предоставить комментарии позднее. Эксперты отмечают, что для реализации атаки требуется перехват трафика, что проще всего осуществить в локальной сети.
