eMudhra: восемь сертификатов оказались слабее, чем обещала длина ключа

История eMudhra легко звучит как «украли сайт удостоверяющего центра». Было иначе. 30 апреля 2025 года на церемонии выпуска ключей для промежуточных центров emSign энтропия, которая должна была давать ключ кривой P-384, схлопнулась до крошечного числа вариантов. Cisco Talos пишет о единицах байт случайности вместо 384 бит. Таких промежуточных сертификатов восемь. Их отозвали. CVE в обсуждении чаще всего фигурирует как CVE-2026-111943: под этим номером, в частности, Go перестал им доверять.

Простыми словами

Сертификат - это заявление «этот сайт именно тот, за кого себя выдаёт», подписанное тем, кому браузер уже верит. Если ключ подписи угадывается, заявление можно подделать. Тогда человек посередине сети показывает ваш банк, ваш Git или ваш VPN с замком, и замок будет настоящим с точки зрения программы, которая всё ещё доверяет этим восьми центрам. Это не взлом пароля и не вирус в письме. Это подмена собеседника на пути.

Почему браузер уже молчит, а сервер нет

Chrome, Firefox, Safari и хранилище Microsoft для подписи кода этим промежуточным центрам больше не доверяют. Обновлённый браузер на ноутбуке сотрудника тему для сёрфинга закрывает. Не закрывает её программа, которая возит свой список корней: контейнер, собранный весной, старый образ CI, Go до 1.27.3 и 1.26.10, часть VPN и панелей, которые не ходят в системное хранилище Windows. WordPress 7.1.4 от 28 октября обновил вложенный список как раз из-за этого. GitLab 29 октября убрал те же центры из своих сборок. Runner и базовые образы сами не подтягиваются.

Отдельно Broadcom предупредил, что те же промежуточные сертификаты сидят в доверенных списках VMware Cloud Foundation, Cloud Director, Workstation, Fusion и ряда соседних продуктов. Это другая заметка, не «ещё одна уязвимость vCenter».

Что сделать

• Обновить браузеры. Это необходимый минимум и уже не вся работа.
• Обновить Go, базовые образы, WordPress, GitLab вместе с Runner, если они у вас есть.
• Не считать отозванный сертификат «проблемой индийского УЦ, нас не касается». Вас касается любой софт, который ему ещё верит.