eMudhra-ի ութ CA բանալիներ վտանգվել են, ինչը հանգեցրել է դիտարկիչների արտակարգ արգելափակմանը

Վտանգումը և անհապաղ արձագանքը

eMudhra-ի ութ միջանկյալ սերտիֆիկացման մարմնի (CA) սերտիֆիկատների գաղտնի բանալիները վտանգվել են, ինչը հոկտեմբերի 20-ին հաստատել են Mozilla-ն և Google-ի Chrome Root Program-ը։ eMudhra-ն հնդկական CA է, որը սերտիֆիկատներ է վաճառում emSign ապրանքանիշով։ Միջանկյալ CA-ն ստորագրում է այն սերտիֆիկատները, որոնք ներկայացնում են կայքերը, ուստի այս բանալիներից մեկին տիրող ցանկացած անձ կարող է սերտիֆիկատ թողարկել ցանկացած կայքի համար, որը դիտարկիչը կընդունի։

Mozilla-ն նրան նշել է միայն Wayne անունով։ այդ հետազոտողը վտանգման մասին հաղորդել է հոկտեմբերի 17-ի երեկոյան, և Chrome-ն ու Firefox-ը ութ սերտիֆիկատները արգելափակել են մի քանի ժամվա ընթացքում՝ այն բանից հետո, երբ Chrome-ն ստուգել է արդյունքները։ Մինչև Chrome-ի արգելափակումը Certificate Transparency-ում չէր գրանցվել ոչ մի TLS սերտիֆիկատ, որը շղթայով կապված լիներ կայքերի համար օգտագործվող վեց միջանկյալ սերտիֆիկատների հետ, ուստի դրանցից ոչ մեկը լռելյայն վստահելի չէր կարող լինել։

Chrome-ն հաղորդումը ստացել է հոկտեմբերի 17-ին UTC ժամանակով 18:05-ին և մինչև UTC ժամանակով 19:45-ը արդեն տեղադրված ուներ CRLSet-ի թարմացում, որը արգելափակում էր վեց TLS միջանկյալ սերտիֆիկատները։ Mozilla-ն այն ստացել է UTC ժամանակով 20:06-ին և մինչև UTC ժամանակով 22:59-ը ավարտել OneCRL-ի արգելափակումը Firefox-ի տեղադրումներում տարածելը։ Դիտարկիչներից ոչ մեկը թարմացման կամ վերագործարկման կարիք չի ունեցել։

Վտանգված սերտիֆիկատները

Ութ վտանգված սերտիֆիկատները ներառում են տիրույթի, կազմակերպության և ընդլայնված վավերացման TLS միջանկյալ սերտիֆիկատներ, ինչպես նաև կոդի ստորագրման երկու սերտիֆիկատ։ Վեց TLS սերտիֆիկատները թողարկվել են emSign Root TLS CA - G3-ի կողմից և շղթայով կապվում են emSign ECC Root CA - G3 արմատային սերտիֆիկատին, որը Chrome-ի և Apple-ի պահոցներում է, իսկ մինչև հոկտեմբերի 20-ը՝ նաև Mozilla-ի պահոցում։

Ութից յուրաքանչյուրը գոյություն ունի նաև որպես խաչաձև ստորագրված պատճեն՝ Sectigo-ի AAA Certificate Services արմատային սերտիֆիկատի տակ։ Chrome-ի արգելափակումը համեմատում է հանրային բանալին, ոչ թե սերտիֆիկատը, ուստի այն տարածվում է նաև այդ պատճենների վրա։ Խաչաձև ստորագրված պատճենները չեն մեծացրել վտանգը Chrome-ում կամ Firefox-ում, որոնք 2025 թվականի ապրիլին դադարել են վստահել Sectigo-ի արմատային սերտիֆիկատին կայքերի համար։

Ծրագրային շտկումներ

Go-ն շտկումը կատարել է իր URGENT ուղու վրա՝ հոկտեմբերի 20-ի թողարկումներում (Go 1.27.3 և 1.26.10)՝ մերժելով ցանկացած շղթա, որը պարունակում է ութ բանալիներից մեկը (CVE-2026-111943)։ Firefox 158.0.1-ը և ESR տարբերակները պարունակում են OneCRL-ի արգելափակումը։ NSS 3.131.1-ը հեռացնում է emSign ECC Root CA - G3-ը վստահելի ցուցակից։ Python certifi-ն, Rust webpki-roots-ը և Homebrew ca-certificates-ը հեռացնում են նույն արմատային սերտիֆիկատը։ Node.js-ում և Composer ca-bundle-ում սպասող փոփոխություններ կան։

Երեք շտկում հեռացնում են արմատային սերտիֆիկատները՝ բանալիները արգելափակելու փոխարեն, ինչը նաև կտրում է այդ արմատներին շղթայով կապված յուրաքանչյուր օրինական սերտիֆիկատ։ Mozilla-ն ասել է, որ որոշ սերվերներ հասանելի չեն լինի իր վստահության ցուցակն օգտագործող, բայց Firefox չօգտագործող օգտատերերի համար, քանի դեռ այդ սերվերները չեն անցել նոր սերտիֆիկատային շղթաների։

Արմատի հեռացումը և ընդլայնված ազդեցությունը

Mozilla-ն հոկտեմբերի 20-ին NSS-ից հեռացրել է emSign ECC Root CA - G3-ը։ Chrome-ն այն կհեռացնի իր արմատների պահոցի 43-րդ տարբերակում և վերանայում է eMudhra-ի մյուս արմատը՝ emSign Root CA - G1-ը։ Apple-ն սերտիֆիկատները արգելափակել է հոկտեմբերի 19-ին, իսկ Microsoft-ը՝ հոկտեմբերի 20-ին։

Mozilla-ն չի կարծում, որ խնդիրը վերաբերում է այլ CA-ների։ Chrome-ն հայտնել է, որ ստուգել է իր պահոցի բոլոր մյուս CA սերտիֆիկատները և այս տիպի խափանման այլ դեպք չի գտել։ Թե ինչպես և երբ են բանալիները դուրս եկել eMudhra-ից, մնում է բաց հարց։

Աղբյուրներ: The Hacker News · Ars Technica