На днях приватные ключи индийского удостоверяющего центра eMudhra были скомпрометированы Что произошло, простым языком? И как этим могут воспользоваться мошенники? Представьте: 1. Вы подключаетесь к вайфаю злоумышленника, он выдает вам свой DNS; 2. Если ваше устройство ему верит, то он может успешно подменить на уровне DNS запросы к Google, Telegram, банкам и чему угодно ещё. И вести вас на свой сервер, где вы оставите пароли и данные карты; 3. Поверит ли ему ваше устройство, зависит от того, есть ли на его сервере сертификат удостоверяющего центра, например, eMudhra; 4. Благодаря уязвимости такой сертификат есть. Профит! На данный момент для нас, как рядовых пользователей тележки, угроза минимальная. Браузеры очень быстро отреагировали на инцидент: пока что не зафиксировано ни одного факта эксплуатации этого бага злоумышленниками. Однако тысячи серверных приложений, использующих старые встроенные библиотеки, например, старые образы Docker, должны отозвать сертификаты вручную. Любопытны два факта: 1. Сам баг уж очень допотопный. Ключи вместо 384 бит случайных данных имели длину от 3 до 8 бит. То есть они все имели одно из следующих значений: 4, 56, 66, 115, 155, 156, 230 и 237. 2. Подобные уязвимости ловятся начиная с 2024 года и у других удостоверяющих центров (в частности, Entrust), что подсвечивает, что даже у такого уровня контор может быть уязвимый код. Детали: https://emudhra.we-have-a-problem.com/
Уязвимость в сертификатах индийской компании eMudhra из-за использования слабых ключей шифрования
- 239
- 159
- 43
- 22
- 10
- 1
- 78
- 30
- 14
- 6
- 3
- 3
- 51
- 26
- 11
- 10
- 5
- 3
- 79
- 30
- 17
- 12
- 1
- 8
- 7
- 3
- 2
- 1
- 1
- 20
- 4
- 10
- 5
- 5
- 48
- 3
- 1
- 1
- 1
- 10