Крупные ИТ-компании заблокировали поддельные сертификаты eMudhra, угрожавшие криптокошелькам

Крупные технологические компании в срочном порядке заблокировали восемь цифровых сертификатов, выпущенных индийским удостоверяющим центром eMudhra Limited. Причина в том, что приватные ключи к этим сертификатам генерировались с ошибкой. Проще говоря, их можно было подобрать, а значит, создать поддельную копию любого сайта, включая криптобиржи и кошельки.

Сертификат — это цифровой паспорт сайта. Когда вы заходите на биржу или в кошелёк, браузер проверяет этот паспорт и убеждается, что соединение защищено. Если паспорт поддельный, злоумышленник может выдать свой сайт за настоящий и подсмотреть логины, пароли и коды двухфакторной аутентификации. Для держателей криптовалют это прямой путь к потере средств.

Инженер Mozilla Деннис Джексон обнаружил проблему на прошлой неделе, и независимо восстановил приватные ключи. Он подтвердил, что процесс генерации был «ошибочным» и «элементарно эксплуатируемым».

Проблема была ответственно доведена до сведения нижестоящих доверенных хранилищ 19 октября. Многие уже выпустили обновления или находятся в процессе их выпуска, — написал он.

Mozilla заблокировала сертификаты в Firefox в тот же день. Google закрыл доступ в Chrome ещё в субботу, Apple — в понедельник, Microsoft — во вторник. Cloudflare выпустила обновления для своих клиентов во вторник.

Проблема в том, что блокировки работают не везде. Браузеры обновились, но множество приложений вне браузерного периметра, к примеру, десктопные кошельки или торговые терминалы, не получают такие обновления автоматически. Джексон отметил, что многие клиенты за пределами браузеров не проверяют журналы прозрачности сертификатов. Есть ли среди них атакованные, пока неизвестно.

Для криптоиндустрии этот случай важен не масштабом, а логикой. Пользователи привыкли доверять зелёному замку в адресной строке. Однако если сам удостоверяющий центр ошибается, замок перестаёт быть гарантией. Поэтому специалисты советуют не пренебрегать обновлениями браузеров и приложений, а для крупных операций использовать аппаратные кошельки, которые не полагаются на HTTPS при подписи транзакций.