На днях приватные ключи индийского удостоверяющего центра eMudhra были скомпрометированы
Что произошло, простым языком? И как этим могут воспользоваться мошенники?
Представьте:
1. Вы подключаетесь к вайфаю злоумышленника, он выдает вам свой DNS;
2. Если ваше устройство ему верит, то он может успешно подменить на уровне DNS запросы к Google, Telegram, банкам и чему угодно ещё. И вести вас на свой сервер, где вы оставите пароли и данные карты;
3. Поверит ли ему ваше устройство, зависит от того, есть ли на его сервере сертификат удостоверяющего центра, например, eMudhra;
4. Благодаря уязвимости такой сертификат есть. Профит!
На данный момент для нас, как рядовых пользователей тележки, угроза минимальная. Браузеры очень быстро отреагировали на инцидент: пока что не зафиксировано ни одного факта эксплуатации этого бага злоумышленниками. Однако тысячи серверных приложений, использующих старые встроенные библиотеки, например, старые образы Docker, должны отозвать сертификаты вручную.
Любопытны два факта:
1. Сам баг уж очень допотопный. Ключи вместо 384 бит случайных данных имели длину от 3 до 8 бит. То есть они все имели одно из следующих значений: 4, 56, 66, 115, 155, 156, 230 и 237.
2. Подобные уязвимости ловятся начиная с 2024 года и у других удостоверяющих центров (в частности, Entrust), что подсвечивает, что даже у такого уровня контор может быть уязвимый код.
Детали:
https://emudhra.we-have-a-problem.com/