Крупные технологические компании инициировали отзыв восьми цифровых сертификатов центра сертификации eMudhra — индийского провайдера, выдающего HTTPS-сертификаты. Причина — критическая уязвимость в процессе генерации приватных ключей, которая позволяла перебрать их и создать поддельные сертификаты для любого веб-сайта, включая популярные сервисы вроде Google или Facebook.
Такие уязвимости в инфраструктуре открытых ключей — это не просто баг в коде; это угроза основе доверия веб-браузеров. Когда браузер видит сертификат с действительной цифровой подписью ЦС, он принимает его как правду. Поддельный сертификат означает, что пользователь может попасть на фишинг-сайт и не заметить подмены, потому что адресная строка будет показывать правильный домен и зелёный замок безопасности.
Критичность ситуации в том, что речь идёт не просто об ошибке отдельного сайта, а об уязвимости в самом механизме, который должен гарантировать аутентичность. Браузеры (Chrome, Firefox, Safari, Edge) быстро добавили эти сертификаты в чёрные списки — такой инцидент может подорвать доверие к ЦС, если на него не отреагировать незамедлительно.
История показывает, что это не первый и не последний сбой в системе центров сертификации. Раньше уже были инциденты с ошибками в генерации ключей у других ЦС (например, проблемы с Debian OpenSSL в 2008-м, слабые ключи у некоторых провайдеров). Каждый раз эти инциденты усиливают требования к аудитам и стандартам безопасности для тех, кто выдаёт сертификаты.
Для российского бизнеса это напоминание о важности проверки цепочки сертификации. Если ваша компания использует сертификаты для защиты клиентских данных или платежей, стоит убедиться, что вы берёте их у проверенных ЦС с хорошей репутацией и регулярным аудитом безопасности. В контексте локализации и цифровой суверенности это особенно актуально: российские ЦС также должны соответствовать этим стандартам. Если вы работаете с криптографией и платежами через блокчейн (например, через смарт-контракты на Signum для защиты транзакций), правильное управление ключами — один из краеугольных камней безопасности.
На практике инцидент уже закрыт быстрым отзывом, но он подчёркивает: сертификационная инфраструктура требует постоянного надзора. Для конечных пользователей риск минимален благодаря оперативности браузеров, но это напоминание для компаний — не экономьте на безопасности криптографических процессов и регулярно проходите аудиты.
Meta Platforms Inc. признана экстремистской организацией, её деятельность запрещена на территории РФ; это относится и к принадлежащим ей социальным сетям Instagram и Facebook.