21 октября 2026

Симпатично — восемь промежуточных TLS-сертификатов индийского удостоверяющего центра eMudhra Limited оказались с закрытыми ключами такой слабости, что с их помощью можно выпускать доверенные сертификаты для любого сайта. Для ключа NIST P-384 нормой считается около 384 бит энтропии, у этих ключей её от 3 до 8 бит: сами ключи равны числам 4, 56, 66, 115, 155, 156, 230 и 237. К полудню вчера браузеры, ряд крупных приложений и языков программирования заблокировали все восемь сертификатов. Исключение составил Edge на Windows 10. Правда, злоупотреблений не зафиксировано.

Теперь вопрос в обновлениях — это браузеры такие быстрые, а остальные это делают не очень быстро. Отследить использование скомпроментированных сертификатов можно, но сложно — Certificate Transparency в час пропускает несколько миллионов сертификатов, и даже просто читать этот поток не очень простая задача.

Вот, кстати, про что стоит волноваться энтузиастам VPN — подобная уязвимость делает внедрение в середину шифрованного соединения очень простой операцией, правда, такая возможность есть только у тех, кто контролирует большие объемы проходящего трафика — например, государствам с системами мониторинга трафика.

А вы вот чем занимаетесь в это время суток?

А я на всякий случай отправил агентов прочитать сообщение об уязвимостях в php и сейчас одобряю критические обновления на паре подшефных сайтов. Это лучше еще и тем, что потом Opus начнет отказываться заниматься починкой поломанного сайта, а security fix делает пока нормально.