Індійська компанія eMudhra, яка займалая цифровою безпекою, вирішила піти з міжнародного ринку сертифікатів для сайтів після того, як з’ясувалося, що один із її секретних ключів складався лише з цифри 4. До того ж, сертифікати з такими ключами пройшли два незалежні аудити, а помилку не помічали близько півтора року.
Індійська компанія eMudhra, яка займалая цифровою безпекою, вирішила піти з міжнародного ринку сертифікатів для сайтів після того, як з’ясувалося, що один із її секретних ключів складався лише з цифри 4. До того ж, сертифікати з такими ключами пройшли два незалежні аудити, а помилку не помічали близько півтора року.
Як повідомляє дослідник кібербезпеки Скотт Гелме, загалом проблему виявили у восьми ключах. Серед них були числа 4, 56 і 115. Він зміг підібрати всі вісім секретних ключів менш ніж за секунду, використовуючи лише загальнодоступні сертифікати.
Це небезпечно, оскільки такі ключі використовують для підтвердження справжності сайтів. Зловмисники могли б скористатися ними, щоб підробляти сертифікати й видавати шахрайські сайти за справжні.
У eMudhra пояснили, що проблема виникла через помилку під час створення ключів у квітні 2025-го року. Програма створила слабкі ключі разом із нормальними, але під час налаштування системи було використано саме слабкі.
Після виявлення проблеми Google, Apple, Microsoft і Mozilla перестали довіряти проблемним сертифікатам. eMudhra відкликала всі вісім сертифікатів зі слабкими ключами та заявила, що жоден із них не використовувався для видавання сертифікатів кінцевим сайтам. Доказів зламу чи витоку даних компанія також не знайшла.
Раніше dev.ua писав, що в Україні з 1-го вересня 2026-го року відбудеться повний перехід на новий стандарт криптографічного захисту «Купина».
