Apple, Google и Mozilla заблокировали восемь поддельных сертификатов, но Mac остался уязвим

Apple, Google и Mozilla заблокировали в своих браузерах восемь промежуточных сертификатов индийского удостоверяющего центра eMudhra. Их закрытые ключи оказались настолько слабыми, что любой желающий мог подобрать их за секунды и выпускать «настоящие» сертификаты для чужих сайтов. Для обычного пользователя это значит одно: в теории мошенник мог подделать адрес банка или почты, а браузер показал бы замочек. Доказательств реальных атак пока нет.

Что именно сломалось

Сертификат сайта подтверждает, что вы открыли именно тот сервер, а не подделку. Выдают такие сертификаты удостоверяющие центры через цепочку промежуточных. У eMudhra восемь промежуточных сертификатов с ключами P-384, созданными в апреле 2025 года, получили ключи со значением меньше 256. Подобрать такой ключ можно перебором всего 256 вариантов. Один из ключей исследователь даже выложил на GitHub: у сертификата «EM OV TLS CA - G3C» значение равно 4.

В eMudhra объяснили сбой ошибкой в скрипте генерации: он создал второй, слабый набор ключей, а подписывать по ошибке стали им, потому что метки совпадали с метками нормальных. Часть сертификатов отправляли в Sectigo на перекрёстную подпись. По словам компании, большинство из них в работе не использовалось. Слабость обнаружил 17 октября исследователь под ником Wayne.

Кто что сделал

Mozilla отозвала сертификаты 17 октября через механизм OneCRL, без обновления браузера. 20 октября вышел Firefox 158.0.1 для тех, у кого отзыв не применился. Google Chrome в тот же день, 17 октября, заблокировал шесть сертификатов, которым разрешён выпуск TLS. Apple добавила защиту 19 октября. Для Go вышли версии 1.27.3 и 1.26.10 (CVE-2026-111943).

Где дыра осталась

Криптограф Mozilla Деннис Джексон предупредил, что macOS может продолжать доверять этим сертификатам. Встроенная утилита /usr/bin/curl не проверяет отзыв в своём наборе сертификатов, поэтому программы и скрипты, которые её используют, остаются уязвимыми, если Mac уже принял один из таких сертификатов. Проверка сайтов в браузерах от этого не зависит: Apple, Google и Mozilla уже внесли сертификаты в блокировку.

Что делать: установите обновления macOS, как только Apple выпустит исправление, и обновите Firefox и Google Chrome до последних версий. Отдельных действий от обычного пользователя не требуется. Подробности по инциденту есть в отчёте Mozilla.