Восемь промежуточных сертификатов eMudhra заблокировали за двое…

Восемь промежуточных сертификатов eMudhra заблокировали за двое суток. Причина скучная: скрипт на церемонии генерации ключей сделал второй набор «с похожими метками», и в работу ушёл именно он. Приватные ключи оказались меньше 256. Нормальный ключ — непредсказуемое число из сотни с лишним десятичных знаков, а такой перебирается за доли секунды на ноутбуке. Публичный сертификат сам отдаёт ключ, которым подписывается сертификат на любой домен, и клиент верит. Замок в раздевалке с кодом 0001 — снаружи солидно, внутри открыто.

Mozilla закрыла интермедиаты 17 октября, Go выпустил 1.27.3 и 1.26.10 через семь с половиной часов после письма в Go Security — первый релиз по треку URGENT. Обновить Go на сервере бесполезно: проверка цепочки зашита в бинарник, пересобирать надо всё, включая фоновые сервисы и драйверы баз. Удалить корень тоже мало — кросс-подпись от Sectigo оставляет путь до доверенного корня. «Семь с половиной часов» звучит бодро, пока не вспомнишь, что Linux-сервис защищён ровно настолько, насколько свежий у него компилятор. Исходники рантайма — тут.

#безопасность #сертификаты #Go