Індійська компанія eMudhra припустилася помилки під час створення восьми цифрових сертифікатів. Через неї зловмисники потенційно можуть видавати підроблені сайти та шкідливі програми за справжні. Про це повідомляє Tom's Hardware.
Що сталося і чому це небезпечно
Індійський центр сертифікації eMudhra видав вісім цифрових сертифікатів із надзвичайно слабкими приватними ключами. Шість із них призначені для перевірки справжності сайтів, ще два — для підтвердження походження програмного забезпечення.
Приватні ключі цих сертифікатів мали довжину лише 1 байт. Це означає, що кожен ключ міг мати лише 256 значень — від 0 до 255. Зловмисник може перебрати всі варіанти за частку секунди.
Через цю помилку зловмисники потенційно можуть створювати підроблені сертифікати, які деякі системи сприйматимуть як справжні.
Наприклад, перехопивши інтернет-трафік у публічній Wi-Fi-мережі або корпоративній мережі, зловмисник може видати підроблений сайт за apple.com чи bankofamerica.com. Якщо пристрій не має необхідного захисту, він може не помітити підміни.
Сертифікати для підписування коду створюють ще одну загрозу. З їхньою допомогою шкідлива програма потенційно може виглядати як офіційне програмне забезпечення Microsoft або Google.
Причину появи настільки слабких ключів поки розслідують.
Які пристрої під загрозою та що робити користувачам
Проблема може стосуватися не лише браузерів, а й багатьох інших пристроїв та програм.
Серед них — комп'ютери, смартфони, планшети, сервери, Wi-Fi-роутери та розумна побутова техніка.
Щоб усунути загрозу, розробники мають оновити списки довірених сертифікатів. Тому користувачам рекомендують встановити доступні оновлення операційної системи, браузера та інших програм.
Власникам маршрутизаторів також варто перевірити наявність оновлень програмного забезпечення.
Найбільш вразливими залишаються застарілі пристрої, для яких виробники вже не випускають оновлень безпеки.
Сучасні версії Chrome, Brave, Firefox і Safari мають додатковий захист Certificate Transparency. Ця технологія перевіряє, чи зареєстрований цифровий сертифікат у публічному журналі. Якщо запису немає, браузер блокує з'єднання з таким сайтом.
Тому звичайний перегляд сайтів через оновлені браузери має додатковий захист. Проте встановити оновлення все одно рекомендують.
