Наши индийские слоны по БРИКС на днях великолепно отличились. Есть такой проверенный индийский удостоверяющий центр eMudhra. Еще 30 апреля 2025 года eMudhra создавала ключи для 24 промежуточных центров сертификации, и 8 из них получили ключи P-384, в которых секретная часть — число меньше 256. Такой ключ подбирается меньше чем за секунду, и красть ничего не нужно: его можно вычислить прямо из публичного сертификата. По словам eMudhra, ошибка прожила около 18 месяцев и прошла два аудита, а предварительно компания винит сбой в процедуре генерации ключей. Деннис Джексон из Mozilla отметил, что локальные ИИ-агенты восстанавливают эти ключи с первой попытки по простому запросу. Семнадцатого октября исследователь сообщил о проблеме Google, Mozilla, Apple, Microsoft и eMudhra и в доказательство подписал сообщение всеми восемью ключами. Chrome и Firefox заблокировали эти центры за несколько часов, Apple — 19 октября, Microsoft — 20 октября. eMudhra отозвала сертификаты и утверждает, что сертификатов для конечных пользователей под ними не выпускалось. По данным Red Sift, после раскрытия исследователи записали в журналы Certificate Transparency больше 100 000 демонстрационных поддельных сертификатов, в том числе для google.com. Браузерам это почти не страшно: они быстро заблокировали эти центры и не принимают сертификаты, которых нет в публичных журналах CT. Уязвимы программы и устройства, которые CT не проверяют и редко обновляют список доверенных сертификатов: VPN-клиенты, умный дом, умные колонки. И тут у энтузиастов руки дошли до колонок Яндекса. С помощью ключей eMudhra удалось подделать серверы конфигурации Яндекс Станции Мини 2 и включить adb с root-доступом. Удалось получить доступ ко всем внутренним файлам, где среди прочего обнаружилась библиотека с занятным названием libyandex_evil.so. Что делает эта библиотека неизвестно, но все уже сделали вывод, что именно там и сидит товарищ майор. Другой пользователь показал root по SSH на Станции Миди — судя по скриншоту, у него на руках почему-то предсерийный образец. Как он получил доступ, не уточнил. Внутри Linux на базе Buildroot 2023.11.1 с ядром 5.4.180: это ветка 2019 года, поддержка которой закончилась в декабре 2025-го. Чип Amlogic A5, около 1 ГБ памяти. Раньше Станции на чипах Amlogic уже вскрывали через USB и уязвимости загрузчика, об этом писали Хакер и Хабр. Яндекс публично всю эту историю не комментирует, но ночью прилетело обновление, которое отозвало доверенность сертификатам eMudhra. Чувствуется, как начинает трещать безопасность примерно всего. Это наглядно показала вчерашняя история с PHP. Кажется, что единственной верной стратегией в такой ситуации может быть переход к полной открытости платформ. Не можешь противостоять — возглавь. Очень бы хотелось запускать любых ассистентов на своих Яндекс Станциях, а не только Алису. Emudhra eMudhra Statement on Recent Certificate Security Incident eMudhra’s statement on a security incident involving a specific set of intermediate CA certificates, with updates as the investigation progresses.
- 10