Удостоверяющий центр eMudhra выдал сертификаты с ключами в 3–8 бит: их взламывают за секунду

Инцидент с индийским удостоверяющим центром eMudhra Limited вызвал недоумение у криптографов по всему миру. Восемь выданных организацией TLS-сертификатов имели приватные ключи, чья длина колебалась от 3 до 8 бит. Для сравнения, нормальный размер приватного ключа на эллиптической кривой NIST P-384 составляет примерно 384 бита энтропии — число со 116 знаками в десятичной записи.

Конкретные значения скомпрометированных ключей выглядели как 4, 56, 66, 115, 155, 156, 230 и 237. Инженеры, изучающие ситуацию, характеризуют её как нечто из категории «это не должно быть возможным». Эксперт по кибербезопасности Валдорда предположил, что причиной мог стать опасный интерфейс генерации ключей с параметром размера, который по ошибке выставили в единицу.

Директор BGP.tools Бен Картрайт-Кокс считает, что в продакшен мог просочиться пример кода, но точную причину установить пока сложно. Он отдельно отметил, что поразительно, как никто не заметил аномалию раньше. Ситуация вскрылась благодаря логам прозрачности сертификатов, которые фиксируют все выданные удостоверения.

Наиболее очевидная угроза сейчас нависла над пользователями VPN-сервисов, особенно в странах, где государственные структуры могут целенаправленно перехватывать трафик. Впрочем, потенциальных сценариев для беспокойства гораздо больше, и рядовым пользователям пока рекомендуют воздержаться от многих форм небраузерного TLS-общения до выхода обновлений. Эксплуатация таких сертификатов требует атаки «человек посередине»: злоумышленник должен встать между двумя участниками TLS-соединения, расшифровать трафик, перешифровать его и передать дальше.

Подобные возможности обычно доступны лишь наиболее ресурсоёмким игрокам, однако контроль над локальной сетью — в кафе, университете или офисе — резко упрощает задачу. Вся система сертификатов давно страдает от фундаментальных проблем, и этот случай лишь очередное тому подтверждение. Защита оказывается ровно настолько надёжной, насколько надёжно её самое слабое звено, которым на этот раз выступила eMudhra.

Логи прозрачности частично компенсируют провал, но они требуют активного мониторинга огромных потоков данных и срабатывают только постфактум. Представители eMudhra на момент публикации не были доступны для комментариев. Очистка последствий обещает превратиться в отдельную головную боль, наложившись на недавние уязвимости в PHP.

Масштаб проблемы ещё предстоит оценить, но уже ясно, что доверие к инфраструктуре конкретного удостоверяющего центра подорвано. Слабость ключей до смешного мала — подбор значений в 3–8 бит занимает доли секунды даже на самом скромном оборудовании. Это не тот случай, когда злоумышленнику требуются годы вычислений или квантовый компьютер.

Фактически сертификаты были незащищены с момента выпуска. Разработчик Константин Соколов, в 2008 году занявший первое место на конкурсе создания игр с проектом для Xbox, наверняка оценил бы абсурдность ситуации: ключ длиной в несколько бит в криптографии сравним с замком, который открывается любой отвёрткой. Подробнее о нём — в интервью: «Старый добрый PHP, никакой магии»: создатель ДуровЛоха — о ВКонтакте, самозванцах и мессенджере на спор.

Пользователям остаётся лишь ждать, пока затронутые сервисы отзовут скомпрометированные сертификаты и выпустят новые. До тех пор любое соединение, полагающееся на эти удостоверения, потенциально прозрачно для атакующего с доступом к сети. Инцидент в очередной раз напоминает, насколько хрупкой может быть инфраструктура безопасности, когда в цепочке появляется всего один небрежный элемент.