Кто-то опубликовал запись во вторник, подписанную «Уэйном». «Здесь у нас проблема». Было бы смешно, если бы Уэйн не подписал её приватным ключом, принадлежащим @eMudhra — сертификационному центру в Индии. Этот ключ находится за одним из восьми промежуточных сертификатов, которым ваш браузер доверяет по умолчанию. Обладая одним из них, вы можете выдавать действительные сертификаты для любого сайта в интернете — включая страницу входа в ваш банк. Так как же Уэйн его получил? Большинство предположили взлом: возможно, внутренний сотрудник или разведывательное агентство. Но он ничего не крал. Ключи можно было угадать. Обычный ключ P-384 содержит около 384 бит случайности — это число из 116 цифр, и никто не угадывает такие. Ключи @eMudhra содержали от 3 до 8 бит. Один приватный ключ был буквально числом 4. Другой — 56. Самый большой — 237. Ноутбук взламывает все восемь быстрее, чем вы дочитаете это предложение. Филиппо Вальсорда, который поддерживает криптографический код для Go, отнёс это к категории «такого не должно быть возможно». Бен Картридж-Кокс из https://t.co/Rg3ue0zZqK считает, что пример кода попал в продакшн, и никто этого не заметил. Поэтому производители браузеров действовали быстро. К концу утра во вторник они заблокировали все восемь сертификатов, а также некоторые крупные приложения и языки программирования. Логи прозрачности сертификатов не показывают признаков использования этих ключей. Кризис окончен? Отнюдь нет. Браузеры — это лёгкая часть. Вальсорда говорит, что эта уборка будет больше, чем #Heartbleed — уязвимость OpenSSL 2014 года, на устранение которой ушли годы. Проблема в том, что всё, что поставляется со своей копией доверенных корневых сертификатов и никогда не обновляется: IoT-устройства, Docker-контейнеры, забытые Linux-системы, старые CLI-инструменты. Некоторые дистрибутивы Linux ещё не подготовили исправления. Edge на Windows 10 всё ещё подключался к 12 уязвимым хостам, когда Ars опубликовала статью. Есть одно ограничение для злоумышленников: недействительный сертификат полезен только если вы находитесь посередине соединения, расшифровывая и повторно шифруя трафик. Это сложно в открытом интернете. Гораздо проще — в Wi-Fi кафе или в стране, которая уже прослушивает VPN-трафик. Приложения вроде Signal и WireGuard в порядке, потому что они не полагаются на TLS для обеспечения конфиденциальности. Вот что меня беспокоит: значок замка в адресной строке — это не обещание одной компании. Это сотни компаний, обещающих одновременно, и оно равноценно самому слабому звену. Во вторник самым слабым звеном был ключ с числом 4. Уэйн предупредил всех. Следующий человек может и не сделать этого. https://t.co/vSK9GTDYLa