Google и Mozilla экстренно прекратили доверять восьми промежуточным удостоверяющим центрам eMudhra после сообщения о ненадежно созданных закрытых ключах. 17 октября 2026 года исследователь сообщил программе Chrome Root о недостаточной случайности, использованной при генерации ключей. При определенных условиях это позволяло выпускать сертификаты, способные выдавать чужой сайт за настоящий. Компаниям, чьи HTTPS-сертификаты опираются на затронутую цепочку доверия, придется менять их.
В бюллетене Google подчеркивается, что речь идет о криптографической компрометации ключей удостоверяющих центров, а не о доказанном массовом перехвате HTTPS-трафика. Преступник с доступом к ключу промежуточного центра мог бы создать подпись, похожую на законную. Опасность распространялась на клиентов, еще доверявших соответствующим центрам и не применявших дополнительные проверки. Для массового злоупотребления сертификатами официальных подтверждений пока нет.
Как браузеры закрыли возможность подделки
Chrome получил сообщение 17 октября в 18:05 UTC и в 19:45 UTC выпустил изменение CRLSet, заблокировав идентификаторы открытых ключей затронутых центров. Этот механизм позволяет обновлять запрет без обязательного обновления всей программы и перезапуска браузера. Google отдельно обеспечила отбраковку соответствующих цепочек в журналах Certificate Transparency. Для Android также применялись защитные меры, описанные в уведомлении разработчиков.
Mozilla доставила блокировку через OneCRL, а 20 октября выпустила дополнительные обновления Firefox 158.0.1 и поддерживаемых ESR-веток. Они предназначались, в частности, для конфигураций, в которых стандартный механизм получения OneCRL мог не сработать. Разница в реализации не меняет смысла: обе компании стремились прекратить доверие к ключам раньше, чем ими смогут воспользоваться для выдачи поддельных HTTPS-сертификатов.
Почему отзыв коснется даже законных сертификатов
Сертификат сайта обычно подписывается промежуточным удостоверяющим центром, а доверие к нему строится через корневой сертификат. Google решила убрать корень emSign ECC Root CA - G3 из хранилища Chrome Root Store. Выход обновления для основных каналов запланирован на 27 октября 2026 года; на 21 октября это еще будущая дата. После удаления законные TLS-цепочки, заканчивающиеся на этом корне, перестанут считаться доверенными, пока владелец сайта не заменит сертификат.
Google сообщила, что в доступных журналах Certificate Transparency до блокировки не обнаружила конечных сертификатов от шести затронутых промежуточных центров в рассматриваемых ею сценариях. Это ограниченный вывод, который не следует превращать в утверждение о полном отсутствии любых злоупотреблений. Сертификат сайта может потерять доверие браузера именно вследствие защитной операции, даже если сам владелец сайта ни в чем не виноват.
Что означает инцидент для владельцев сайтов
Администраторам важно проверить, каким корнем заканчивается цепочка сертификата их сервера. Если это emSign ECC Root CA - G3, потребуется новый сертификат из доверенной и не затронутой цепочки и последующая проверка настройки TLS. Пользователи актуальных браузеров уже получили или должны получить соответствующие блокировки. Для обычного читателя признаком проблемы станет предупреждение о недоверенном сертификате, но игнорировать его ради открытия сайта небезопасно.
Вопросы и ответы (FAQ)
Был ли взломан HTTPS у всех пользователей?
Нет. Уязвимость ключей создавала возможность подделки сертификатов, но массовый перехват соединений не подтвержден.
Нужно ли вручную обновлять Chrome?
Google использовала CRLSet, который блокирует ключи без обязательного перезапуска браузера.
Почему обновили Firefox?
Дополнительные версии предназначены для пользователей, чьи настройки могли препятствовать получению запрета через OneCRL.
Когда удалят корень eMudhra?
Google планирует распространить удаление emSign ECC Root CA - G3 27 октября 2026 года.
Что делать владельцу сайта с такой цепочкой?
Получить новый сертификат из другого доверенного удостоверяющего центра и проверить полную цепочку TLS на сервере.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
