💡 Закрытые ключи восьми промежуточных сертификатов удостоверяющего…

💡 Закрытые ключи восьми промежуточных сертификатов удостоверяющего центра eMudhra оказались скомпрометированы.

Из-за этого любой мог выпустить поддельный сертификат, которому доверяли бы устройства и программы, и перехватывать или подменять трафик между пользователем и сайтом.

ℹ️ Например, если вы подключились к общественному Wi-Fi, который контролируют мошенники, они могли подсунуть вам поддельный сайт банка с сертификатом, подписанным скомпрометированным ключом. Ваше устройство не заподозрило бы подмены и приняло бы сайт за настоящий, а в строке браузера был бы «замочек», который по идее гарантирует, что сайт не фейковый.

Проблема оказалась в ошибке скрипта, которым генерировали ключи. Ключом P-384 должно служить случайное число до 2^384, но у всех восьми ключей оно оказалось меньше 256, а у одного равно просто 4.

Mozilla, Microsoft, Apple, Google и разработчики открытого ПО заблокировали скомпрометированные сертификаты. Проверить, доверяет ли ваше устройство этим сертификатам, можно здесь.