Госсайты Индии продолжают отдавать отозванные сертификаты eMudhra

Что произошло

17 октября выяснилось, что у восьми промежуточных удостоверяющих центров eMudhra, выстроенных в цепочку к корню emSign ECC Root CA — G3, закрытые ключи восстанавливались тривиальным образом. На следующий день их отозвали, а Mozilla и Chrome приступили к исключению корня G3 из доверенных.

Отдельно, 19 октября eMudhra отозвал 9356 сертификатов в не затронутой уязвимостью RSA-иерархии (emSign Root CA — G1) с формулировкой «Superseded». Эта партия совпадает со всеми не истёкшими сертификатами, в которых отсутствовал обязательный по собственному регламенту eMudhra идентификатор политики, указывающий тип сертификата.

«Паникёры» и опровержение

21 октября министерство электроники и ИТ Индии (MeitY) опубликовало заявление: инцидент с инфраструктурой открытых ключей eMudhra действительно имел место, но отдельные аккаунты в соцсетях «нагнетают страх», тогда как влияние на индийские сайты и приложения было «очень ограниченным и очень недолгим».

Автор материала возражает по обоим пунктам. Недолгим влияние не было: уязвимые ключи сгенерировали в апреле 2025 года, то есть восстановить их мог кто угодно на протяжении восемнадцати месяцев до публикации. Ограниченным оно тоже не выглядит: сами скомпрометированные промежуточные центры выпустили немного, но из-за исключения всего корня G3 eMudhra оценивает в 30 000 число сертификатов, которые придётся мигрировать. Правда, большая их часть, похоже, принадлежит американским университетам, пользующимся eMudhra через InCommon, а не индийским сайтам.

Отозванные сертификаты всё ещё в строю

Главная претензия — к отзыву 19 октября. Спустя дни индийские госсайты продолжают отдавать отозванные сертификаты, в том числе четыре структуры под самим MeitY: STPI, Bhashini, UIDAI и Контролёр удостоверяющих центров, чей сайт India PKI отдаёт отозванный сертификат eMudhra. Примечательно, что именно этот орган регулирует деятельность eMudhra как удостоверяющего центра в Индии.

Автор проверил 8947 хостов из каталога индийских госсайтов IGOD. По состоянию на 23 октября 156 из них по-прежнему отдают один из отозванных сертификатов. Все они были отозваны 19 октября в промежутке между 15:34 и 15:49 по центральноевропейскому времени.

Отзывы сертификатов — дело обычное (GoDaddy недавно отозвал 400 тысяч), но обычно они сопровождаются уведомлениями подписчикам, чтобы те успели перейти на новые действующие сертификаты. Делает ли это eMudhra сейчас, когда, судя по всему, компания потеряла интерес к TLS-бизнесу, автор судить не берётся.

Источник: Lobsters