Закрытые ключи восьми промежуточных сертификатов УЦ eMudhra скомпрометированы. Эти сертификаты связаны с корневыми сертификатами, которым доверяют программы корневых сертификатов Mozilla, Microsoft, Apple и Chrome, а также многие нижестоящие хранилища доверия. Первоначальный автор сообщения, Уэйн, продемонстрировал компрометацию, подписав сообщение закрытым ключом каждого из восьми промежуточных УЦ, и 17 октября сообщил об этом командам программ корневых сертификатов. Пакет включает сообщение, сертификаты, открытые ключи и подписи, поэтому любой может проверить подписи с помощью OpenSSL.
Программы корневых сертификатов и многие нижестоящие хранилища доверия уже приняли меры. Сертификаты заблокированы в Firefox и Chrome с 17 октября, на устройствах Apple с 19 октября и в Microsoft с 20 октября. О проблеме ответственно сообщили нижестоящим хранилищам доверия 19 октября, и многие уже выпустили или готовят обновления. УЦ также отозвал скомпрометированные промежуточные сертификаты.
Злоумышленник, владеющий любым из скомпрометированных закрытых ключей, может выдавать себя за любой веб-сайт или сервис. Mozilla, Microsoft, Apple и Chrome устранили проблему для своих пользователей с помощью инструментов отзыва, таких как CRLite и CRLSets. Однако многие другие клиенты не используют информацию об отзыве и требуют обновления программ, чтобы прекратить доверять скомпрометированным промежуточным сертификатам. Пользователям рекомендуется как можно скорее обновить браузеры и операционные системы до последних версий.
Исправленные версии доступны для нескольких инструментов разработчика и пакетов, включая Go, Electron, Python certifi, Rust webpki-roots, Homebrew ca-certificates и NSS, тогда как для некоторых, например Node.js и Composer, на момент сообщения исправления ещё ожидались. Опытные пользователи Linux могут вручную отказаться от доверия затронутым корневым сертификатам в системном хранилище доверия, пока дистрибутивы не выпустят обновлённые пакеты ca-certificates, однако обычным пользователям это не рекомендуется.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing