Скрипт на Python, разработанный внутри компании eMudhra и ставший причиной компрометации ключей в октябре, привел к отзыву еще 8 промежуточных центров сертификации (ЦС) компании, хотя их ключи не были ослаблены.
Каждый промежуточный ЦС имеет свой собственный закрытый ключ, который компания использует для подписи выдаваемых сертификатов. У 8 промежуточных ЦС, скомпрометированных в октябре, возникла другая проблема: одна строка в скрипте усекла каждый из их ключей до одного байта, сообщила компания на этой неделе.
Скрипт также извлек ключи RSA из 8 вновь отозванных ЦС из аппаратных модулей безопасности (HSM) компании. Компания заявляет, что не может доказать, что ключи обрабатывались в соответствии с ее собственными правилами. ЦС были отозваны в конце прошлой недели.
Ранее компания утверждала, что эти ЦС не пострадали. «Эмитенты RSA прошли другой путь, согласно нашей оценке кода, и поэтому не затронуты», — написала она в трекере ошибок Mozilla 19 октября.
Из 8 ЦС 6 были предназначены для сертификатов веб-сайтов (TLS), а 2 — для подписи кода. Компания ввела в эксплуатацию 4 из них в мае. В ее списке указано 195 сертификатов от них, 29 — для собственных доменов.
Обе проблемы начались во время церемонии выдачи ключей 30 апреля 2025 года, согласно полному отчету об инциденте, опубликованному компанией на том же трекере ошибок на этой неделе. В тот день было сгенерировано 16 ключей ЦС на HSM Utimaco, включая 8, которые стали причиной октябрьской компрометации ключей.
Ключи предназначались для HSM Crypto4A на американских и европейских объектах компании. Перемещение ключей между HSM разных производителей ограничено, говорит компания, поэтому ее команда по эксплуатации PKI написала скрипт на Python для упаковки каждого ключа для транспортировки и последующей распаковки.
В тот день «круговой маршрут» был тренировочным прогоном передачи, и одобренный FIPS режим исходного HSM был отключен для него как одобренное исключение.
После «кругового маршрута» скрипт считывал каждый закрытый ключ из HSM в память компьютера для церемонии и восстанавливал ключ из этой копии. Для 8 ключей ECDSA «одна строка в этом считывании усекла закрытое значение до его первого байта», — говорится в отчете.
Восстановленный ключ имел метку, почти идентичную оригинальной, что позволило отправить ослабленную копию для подписи и сертификации.
The Hacker News смог восстановить все 8 ключей по их общедоступным сертификатам. Самый маленький, для EM OV TLS CA – G3C, имел длину 4 байта, а самый большой — 237.
Ничто в процессе церемонии не проверяло надежность ключа и не сравнивало сертифицированный ключ с первым сгенерированным ключом. Ослабленные ключи по-прежнему генерировали действительные подписи, а их сертификаты проходили проверку и два цикла аудита WebTrust незамеченными.
HSM работали корректно на протяжении всего процесса, по словам компании, которая возлагает вину на свой собственный скрипт и средства контроля процессов.
Недействительные подписи CRL в июне 2025 года были ранним признаком той же неисправности, согласно отчету. Компания исправила их в то время, переподписав списки ключами, соответствующими сертификатам, то есть ослабленными.
Согласно отчету, 8 ключей RSA прошли тот же этап считывания, который компания ранее исключила в своем предыдущем ответе. В начале прошлой недели компания заявила, что ее предыдущие ответы отражали только то, что ее команды собрали на данный момент, включая пути скриптов, по которым проходили наборы ключей.
Скрипт не укорачивал эти ключи, и каждая подпись по-прежнему проверяется по сертифицированному ключу. Однако их закрытые части, такие как закрытый показатель степени и один из простых множителей, находились в памяти процесса Python на компьютере для церемонии.
В результате компания «не может достоверно продемонстрировать, что этот ключевой материал соответствовал CPS §6.2.6», — своему собственному правилу перемещения ключей в HSM и из него. Журналы и файлы с этого компьютера не могут надежно показать, как обрабатывался материал.
К такому выводу компания пришла в начале ноября после обсуждений с корневыми программами браузеров. 8 RSA ЦС были отозваны в конце прошлой недели с кодом причины cessationOfOperation, а не кодом CA-compromise, использованным при отзыве первых 8 ЦС 18 октября.
Участники ветки обсуждения ошибок спрашивали, почему компания выбрала этот код, а не keyCompromise.
Из 195 сертификатов в списке сертификатов компании 130 были выданы EM DV TLS CA – G2C, 63 — EM OV TLS CA – G2C, а 2 — ЦС подписи кода EM OV CS CA – G2C.
Помимо собственных доменов компании, в сертификатах указаны несколько университетов и колледжей, округ и другие организации. Самый новый был выдан на прошлой неделе, за несколько дней до отзыва ЦС. Компания заявляет, что все их держатели переведены на новые сертификаты.
Компания заявляет, что процесс упаковки и распаковки использовался только один раз, и что все остальные церемонии выдачи ключей создавали ключи на месте.
Участники ветки обсуждения ошибок также хотят, чтобы скрипт был опубликован, а некоторые спрашивали, как закрытые ключи вообще могли покинуть HSM.
KPMG, которую компания наняла в качестве независимого аудитора, должна завершить свою работу к 4 декабря. Инвентаризация всех ключей ЦС компании должна быть завершена к 30 ноября.
Компания не знает ни одного случая злоупотребления. Любой, кто владел одним из октябрьских ключей, мог выдать себя за любой веб-сайт, согласно сайту раскрытия информации, управляемому Деннисом Джексоном, который исследовал ключи для Mozilla.
Браузеры, которые применяют Certificate Transparency, не могли быть обмануты. Известно ли, использовались ли ключи против программного обеспечения, которое пропускает эту проверку, неизвестно.
eMudhra, продающая сертификаты под брендом emSign, уходит из бизнеса общедоступных доверенных TLS после своего объявления от 22 октября о выходе из глобального бизнеса SSL/TLS.
Держатели могут найти затронутые сертификаты в списке компании или путем поиска в журналах Certificate Transparency по отозванным эмитентам G2C TLS.
Выдача всех сертификатов из иерархии G1 компании должна прекратиться до 16 ноября, поскольку оставшиеся клиенты, в основном университетская федерация в Северной Америке, переходят к другому поставщику.
Microsoft начнет удалять 10 оставшихся корневых сертификатов eMudhra, включая emSign Root CA – G1, 16 ноября, согласно обновлению своего сообщения о реагировании на безопасность, опубликованному на этой неделе. Сертификаты, связанные с этими корневыми сертификатами, затем потеряют доверие по умолчанию в Windows и Edge, а также в некоторых других продуктах Microsoft в свои собственные сроки.
Согласно графику поэтапного отказа индийской компании, Chrome и Firefox не будут доверять сертификатам G1, выданным после 16 ноября, а Apple прекратит доверие ко всем сертификатам G1, включая старые, 30 ноября.
macOS 27.2.1, 26.7.3 и 15.8.3 перестанут принимать скомпрометированные сертификаты TLS CA для таких инструментов командной строки, как curl и git, сообщила Apple в примечании поддержки на этой неделе. Они также удаляют 5 корневых сертификатов, включая emSign Root CA – G1, из /etc/ssl/cert.pem, поэтому инструменты, полагающиеся на этот файл, могут не проверять некоторые сайты, связанные с ними.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
