Сбойный скрипт и уязвимость криптографических ключей
Индийский орган цифровой сертификации eMudhra столкнулся с глобальным кризисом безопасности после того, как программная ошибка в процессе генерации ключей создала критически слабые закрытые ключи. Как сообщает Rediff, инцидент затронул восемь промежуточных сертификатов центра сертификации (шесть TLS-сертификатов и два сертификата для подписания кода), выпущенных в апреле 2025 года. Из-за ошибки в скрипте генерации частные значения были сведены к малым предсказуемым целым числам, таким как 4, 56 и 115. Эти математические уязвимости оставались незамеченными в ходе стандартных аудитов около 18 месяцев, пока исследователь безопасности Уэйн не обнаружил проблему и не уведомил Apple, Google, Microsoft и Mozilla 17 октября 2026 года.
Обнаружение уязвимости потребовало экстренных действий со стороны экосистемы цифрового доверия. Поскольку закрытые ключи служат математической основой для верификации безопасной связи и цифровых подписей, скомпрометированные ключи позволили бы злоумышленникам вычислять приватные параметры, создавать поддельные HTTPS-сертификаты для произвольных доменов, выдавать себя за легитимные сайты и проводить атаки типа «человек посередине» (MitM). Кроме того, скомпрометированные ключи подписания кода могли использоваться для распространения вредоносного ПО. По данным Cert-In, индийского агентства компьютерной безопасности, eMudhra заявила, что физическая и логическая инфраструктура компании осталась нетронутой, а утечки пользовательских данных не зафиксировано.
Оценки влияния показывают, что уязвимость затронула преимущественно глобальный TLS-бизнес eMudhra, а не внутренние индийские сервисы eSign и цифровой подписи. Представители компании отметили, что на долю пострадавшего зарубежного TLS-бизнеса приходится около одного процента корпоративной выручки. Тем не менее, операционные последствия требуют замены и перевыпуска примерно 30 000 клиентских сертификатов. Руководство eMudhra подтвердило, что напрямую работает с затронутыми клиентами для предоставления замен и предотвращения сбоев критически важных сервисов, продолжая расследование причин совместно с операторами корневых программ.
Массовый отзыв сертификатов браузерами и реакция экосистемы
В ответ на раскрытие информации ведущие технологические корпорации и операторы корневых хранилищ предприняли оперативные шаги по изоляции рисков. Компания Google обновила набор списков отзыва сертификатов (CRLSet) для блокировки публичных ключей затронутых промежуточных центров в браузере Chrome, а также объявила об удалении продукта emSign ECC Root CA - G3 из корневого хранилища Chrome; полный перенос назначен на 27 октября 2026 года. Компания Mozilla также заблокировала шесть скомпрометированных TLS-сертификатов, а Apple и Microsoft ввели аналогичные ограничения доверия.
Быстрая реакция подчеркивает хрупкую взаимосвязь современной инфраструктуры открытых ключей (PKI). В то время как современные ОС и автоматизированные клиенты получают обновления незамедлительно через механизмы CRL, старые корпоративные системы, встроенные платформы и устаревшие устройства интернета вещей (IoT), не поддерживающие автообновление, остаются в зоне повышенного риска. Аналитики отмечают, что браузеры нейтрализовали непосредственную угрозу, но сопутствующие приложения должны вручную очистить доверенные корневые сертификаты.
Институциональные последствия и регуляторный контроль
Инцидент с eMudhra привлек повышенное внимание регулирующих органов к поставщикам цифрового доверия в Индии и за ее пределами. Cert-In и государственные ведомства связались с eMudhra для проверки протоколов генерации ключей и оценки возможных аналогичных уязвимостей. Хотя правительственные источники отметили, что прямое влияние внутри Индии ограничено из-за изоляции внутренних сервисов eSign, репутационные последствия для индийских сертификационных центров на глобальном рынке остаются ощутимыми.
Параллельно обстановка в сфере кибербезопасности Индии обострилась на фоне недавнего раскрытия информации Государственным банком Индии (SBI) о возможной утечке клиентских записей в даркнет. Данные события подчеркивают системные риски для цифровой инфраструктуры, вынуждая регуляторов и финансовые организации пересматривать протоколы аудита и реагирования на инциденты.