Если вы программист или работаете в IT-сфере, вы, вероятно, слышали о компрометации промежуточного центра сертификации eMudhra, раскрытой 20 октября 2026 года. Возможно, вы заметили волну обновлений программного обеспечения для продуктов, которыми пользуетесь. Вместо повторения всей предыстории, которая освещена в публичных публикациях, включая ставший открытым баг-репорт Mozilla, эта статья сосредоточена на влиянии на устройства Интернета вещей (IoT), в первую очередь на устройства класса микроконтроллеров (MCU).
Некоторых читателей подтолкнули комментарии вокруг этой компрометации, включая пост Russ Cox в Bluesky, предупреждавший, что IoT-устройства, которые не могут или не обновляются, теперь навсегда становятся легкой мишенью для атак MITM. Пост Scott Helme, который попал на первую страницу Hacker News, содержал не менее резкое предупреждение и касался камер, маршрутизаторов, автомобилей, медицинского оборудования, платежных терминалов и промышленных контроллеров, пакеты сертификатов которых заморожены до 2039 года.
Применимость этих предупреждений зависит от того, что считать IoT-устройством. Одноплатный компьютер вроде Raspberry Pi или любое устройство под управлением Linux, вероятно, затронуты и должны быть быстро обновлены через решение OTA (over-the-air). А вот парки MCU, вероятно, напрямую не затронуты. Чтобы понять почему, нужно базовое представление об инфраструктуре открытых ключей (PKI) и веб-PKI.
Устройства и браузеры поставляются с наборами сертификатов корневых центров сертификации, которые служат якорями доверия. Каждый HTTPS-сайт предъявляет цепочку сертификатов, ведущую к одному из этих корней, что позволяет клиентам проверить идентичность. Поскольку MCU обычно хранят лишь небольшой фиксированный набор корней, они не подвергаются таким же рискам, как системы общего назначения.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing