Восемь слабых TLS-сертификатов дали возможность подделывать почти любые сертификаты
Пока невозможно сказать, как сертификаты попали в открытый доступ.
Специалисты по кибербезопасности обнаружили 8 TLS-сертификатов с настолько слабыми ключами, что злоумышленники могут использовать их для создания поддельных сертификатов практически любых сайтов.
Все уязвимые сертификаты принадлежат индийскому удостоверяющему центру eMudhra Limited. Исследователи продемонстрировали возможность использования одного из закрытых ключей, опубликовав подписанное им сообщение на сайте emudhra.we-have-a-problem.com.
Обычно криптографический ключ стандарта NIST P-384 обладает 384 битами энтропии, однако у обнаруженных сертификатов этот показатель составлял всего от 3 до 8 бит. Сами ключи, как оказалось, представляли собой простые числа: 4, 56, 66, 115, 155, 156, 230 и 237.
Проблемные сертификаты уже заблокированы в популярных браузерах и сервисах, но есть нюансы. Например, Microsoft Edge под Windows 10 продолжал устанавливать соединения с 12 уязвимыми хостами.
Основная проблема связана с огромным количеством систем, использующих собственные хранилища доверенных сертификатов. Если в этих хранилищах есть уязвимые сертификаты, то их придется вычищать вручную.
Признаков использования скомпрометированных ключей пока не обнаружено, но это, видимо, лишь вопрос времени. Причина попадания незащищенных сертификатов в открытый доступ неизвестна.
