У индийской компании eMudhra украли ключи для подтверждения подлинности сайтов. Она выпустила 60 миллионов скомпрометированных сертификатов

Индийская компания eMudhra, которая выдаёт сертификаты для сайтов, использовала слишком простые секретные ключи, из-за чего посторонние смогли создавать поддельные сертификаты и выдавать мошеннические сайты за настоящие. Об уязвимости 17 октября сообщил исследователь по имени Уэйн. В доказательство он подписал всеми восемью найденными ключами сообщение «У нас проблема — Уэйн».

Сертификат — это цифровое удостоверение сайта. Когда пользователь открывает страницу, браузер проверяет сертификат и верифицирует сайт как подлинный. Выдают такие удостоверения специальные организации, центры сертификации. eMudhra — одна из них: по данным The Register, она выпустила более 60 миллионов сертификатов. Каждый сертификат центр заверяет своим секретным ключом, как печатью. Тот, кто получит ключ, сможет изготовить сертификат для любого сайта.

Ключом должно служить огромное случайное число, но в eMudhra, по словам исследователей, использовали совсем маленькие, например 4, 56 и 237. Специалист по безопасности Скотт Хелм сообщил, что восстановил все восемь ключей из публичных сертификатов меньше чем за секунду, а уязвимыми они были с апреля 2025 года. В eMudhra объяснили это ошибкой в скрипте создания ключей. Компания пока не ответила на запрос CoinDesk.

Основной риск лежит за пределами браузеров. Поддельный сертификат для платёжного сервиса Stripe приняли curl, Python, Node, Go и Java. Под угрозой могут оказаться и пользователи криптовалют, поскольку торговые боты и серверные части кошельков часто работают на Python, Node или Go. Поддельный сертификат для биржи теоретически позволил бы злоумышленнику в той же сети читать или менять их трафик. Об атаках на криптопользователей пока не сообщалось. Технический директор Polygon Labs Мудит Гупта заявил, что проблема не относится только к криптоиндустрии. Больше всего рискуют те, кто пользуется устаревшим или не обновлённым программным обеспечением.