Компанія, що гарантує безпеку вебсайтів, мала секретні ключі настільки слабкі, що 8 з них були зламані.

В інтернеті триває активна робота над усуненням вразливості, яка стосується системи перевірки реальності веб-сайтів.

Все почалося 17 жовтня, коли дослідник повідомив розробникам браузерів про компрометацію восьми секретних ключів індійської компанії eMudhra, що відповідає за автентифікацію сайтів.

Докладно виклавши проблему, дослідник Уейн продемонстрував вразливість, використавши ці компрометовані ключі для цифрового підпису свого попередження. Браузери перевіряють цифровий сертифікат, щоб підтвердити автентичність сайту, і сертифікати видають компанії, відомі як центри сертифікації, серед яких eMudhra, яка видала понад 60 мільйонів сертифікатів.

Кожен центр підписує свої сертифікати приватним ключем, який можна уявити як майстер-штамп.

У випадку крадіжки або зламу цього штампу зловмисники можуть підробити сертифікати для будь-якого сайту. Користувачі криптовалюти також повинні бути обережними, оскільки підроблений сертифікат для API біржі може дозволити зловмиснику читати або змінювати трафік бота.

Вreported жодних атак на користувачів наразі не зафіксовано.

Команда CoinDesk зв'язалася з eMudhra для коментарів.

Розробники браузерів уже випустили термінові виправлення: Mozilla отримала інформацію 17 жовтня після 20:00 UTC і протягом приблизно трьох годин застосувала блокування, Chrome заблокував сертифікати в той же день, Apple зробила це 19 жовтня, а Microsoft — 20 жовтня.

eMudhra також анулювала відповідні сертифікати.

Mozilla попередила, що зловмисники можуть використовувати підроблені сертифікати для видавання себе за довірені сайти, що дозволяє читати або змінювати дані користувача. Причини витоку ключів наразі ясні не.

За словами дослідників, eMudhra використовувала маленькі цілі числа як приватні ключі замість сильних 384-бітних випадкових чисел, а один з таких ключів є числом 4.