Apple, Google і Mozilla заблокували вісім підроблених сертифікатів, але Mac залишився вразливим

Apple, Google і Mozilla заблокували у своїх браузерах вісім проміжних сертифікатів індійського центру сертифікації eMudhra. Їхні закриті ключі виявилися настільки слабкими, що будь-хто міг підібрати їх за секунди й випускати «справжні» сертифікати для чужих сайтів. Для звичайного користувача це означає одне: теоретично шахрай міг підробити адресу банку чи пошти, а браузер показав би замочок. Доказів реальних атак поки немає.

Що саме зламалося

Сертифікат сайту підтверджує, що ви відкрили саме той сервер, а не підробку. Видають такі сертифікати центри сертифікації через ланцюжок проміжних. У eMudhra вісім проміжних сертифікатів із ключами P-384, створеними у квітні 2025 року, отримали ключі зі значенням менше за 256. Підібрати такий ключ можна перебором усього 256 варіантів. Один із ключів дослідник навіть виклав на GitHub: у сертифіката «EM OV TLS CA - G3C» значення дорівнює 4.

В eMudhra пояснили збій помилкою в скрипті генерації: він створив другий, слабкий набір ключів, а підписувати помилково почали саме ним, бо мітки збігалися з мітками нормальних. Частину сертифікатів надсилали до Sectigo на перехресний підпис. За словами компанії, більшість із них у роботі не використовувалася. Слабкість виявив 17 жовтня дослідник під ніком Wayne.

Хто що зробив

Mozilla відкликала сертифікати 17 жовтня через механізм OneCRL, без оновлення браузера. 20 жовтня вийшов Firefox 158.0.1 для тих, у кого відкликання не спрацювало. Google Chrome того самого дня, 17 жовтня, заблокував шість сертифікатів, яким дозволено випуск TLS. Apple додала захист 19 жовтня. Для Go вийшли версії 1.27.3 і 1.26.10 (CVE-2026-111943).

Де діра лишилася

Криптограф Mozilla Деннис Джексон попередив, що macOS може й далі довіряти цим сертифікатам. Вбудована утиліта /usr/bin/curl не перевіряє відкликання у своєму наборі сертифікатів, тому програми й скрипти, які нею користуються, залишаються вразливими, якщо Mac уже прийняв один із таких сертифікатів. Перевірка сайтів у браузерах від цього не залежить: Apple, Google і Mozilla вже внесли сертифікати до блокування.

Що робити: установіть оновлення macOS, щойно Apple випустить виправлення, і оновіть Firefox та Google Chrome до останніх версій. Окремих дій від звичайного користувача не потрібно. Подробиці інциденту є у звіті Mozilla.