SSL/TLS-трафик оказался уязвим в очередной раз. Обнаружено восемь сертификатов eMudhra, которые
могли использоваться для выдачи подделок (все принадлежат индийскому удостоверяющему центру eMudhra Limited).
Т.е. кто угодно мог перехватывать трафик через MITM, используя для этого поддельные сертификаты, якобы заверенные eMudhra (потому уровень доверия к поддельным сертификатам был бы совершенно обычным).
МасштабТеперь надо обновить все устройства — компьютеры и гаджеты — чтоб перестали доверять сертификатам заверенным/выданным через eMudhra. Это касается и самых небольших устройств, близких к IoT и ноутбуков с телефонами и виртуальных машин или систем в контейнерах docker/podman.
Детали и подробностиПосле генерации пары секретны и открытый ключ не было соблюдена процедура проверки — а не оказались ли ключи в множестве тривиальных и потому непригодных к использованию.
Ключи на базе NIST P-384 обеспечивают 2³⁸⁴ вариантов (двойка в 384-й степени), но, почему-то, у конкретно этих сертификатов eMudhra, взяты крайне простые/тривиальные значения. Скорее, халатность из-за некачественной генерации ключевых пар, нежели злой умысел и попытка создать закладку/уязвимость. Обычно, криптографический софт выполняет ряд проверок для сгенерированных ключей.
#crypto #криптография #pki #tls #ssl #security #privacy #mitm #lang_ru @Russia
