Так-с, а давайте-ка тоже быстро обсудим стоящий вокруг кипишь в честь слитых вчера закр...
Так-с, а давайте-ка тоже быстро обсудим стоящий вокруг кипишь в честь слитых вчера закрытых ключей 8 Intermediate CA от eMudhra. https://emudhra.we-have-a-problem.com/ Собственно, началось всё как ужас и кошмар - ключи натурально украли, все срочно обновляем всё и ползём в умиральную яму. Обновляться, кстати, побежали натурально все, потому что ну нифига себе история какая, что теперь можно подделать TLS-сертификат практически любого сайта/приложения. Для напримера давайте посмотрим на node.js https://github.com/nodejs/node/pull/66877 https://github.com/nodejs/node/commit/d9a3f3d150f7959f2d448d9a61aa11f5a75aa2b3 Но в процессе оказалось, что никто особо ничего не крал. А так получилось, что просто смогли восстановить ключи благодаря слабой энтропии, потому что кто-то влез руками в сгенерённые через HSM ключи, с которыми проверяли механизмы импорта/экспорта. Был использован какой-то локальный скрипт генерации приватного ключа и в итоге, вместо рандомного 384-битного числа, был использован набор от 1 до 255. А фактически там было много нулей и 1 байт в конце. Ну и дальше дело техники, вернее кривого клика, потому что тестовые ключи перепутали с боевыми и отправили на создание CSR, который потом подписали корневым CA. https://gist.github.com/AGWA/5a78186e0f4a7d537b8891a7b46f9458 А самое классное, что заметили это всё непозволительно поздно. То есть, начиная с 30 апреля 2025 года натурально любой человек мог за считанные секунды элементарный перебором восстановить эти ключи и выпускать свои SSL-сертификаты. https://bugzilla.mozilla.org/show_bug.cgi?id=2083449 КББ в ТГ| КББ в ВК | КББ в Дзене | Блог автора