eMudhra уходит с рынка SSL/TLS-сертификатов после компрометации : чем это грозит владельцам сайтов и корпоративной инфраструктуре

Индийская компания eMudhra планирует уйти с глобального рынка SSL/TLS-сертификатов. Решение было принято после обнаружения восьми промежуточных центров сертификации с легко подбираемыми закрытыми ключами. Об этом пишет HackRead.

«Ни один из выданных не соответствует проектируемым требованиям»: Минцифры подготовило правила для сертификатов НУЦ

Исследователи отмечают, что на долю eMudhra в глобальном бизнесе в сфере сертификатов приходится примерно 1% выручки. В качестве причин ухода компания назвала растущие затраты на соблюдение нормативных требований и требования к суверенитету данных.

О проблеме с ключами стало известно еще 17 октября 2026 года, когда один из исследователей передал информацию компании Mozilla, после чего та самостоятельно восстановила ключи. Позже другой исследователь продемонстрировал уязвимость, восстановив все ключи менее чем за секунду, — все они были сгенерированы в виде небольших чисел.

В eMudhra после этого объяснили, что инцидент вызван ошибкой в процессе генерации ключей и расследуется.

После инцидента Mozilla заблокировала затронутые промежуточные сертификаты, а Google запланировала удалить корневой сертификат emSign ECC Root CA-G3 из хранилища Chrome. Исследователи заявили, что на 26 октября Chrome и Firefox заблокировали уже шесть затронутых промежуточных сертификатов TLS.

До блокировки в журналах не было обнаружено TLS-сертификатов, связанных с шестью затронутыми промежуточными сертификатами для подписи веб-сайтов. Тем не менее на 21 октября существовало около 30 800 непросроченных сертификатов, которые связаны с более широкой корневой иерархией, писал HackRead со ссылкой на Google Certificate Transparency.

Отмечается, что отдельные системы, включая Java, контейнеры и балансировщики нагрузки, могут продолжать доверять затронутым сертификатам. В связи с этим eMudhra обещает бесплатную замену сертификатов через партнеров.

Как произошла компрометация

Ведущий аналитик ТЦИ Александр Венедюхин объяснил, что секретные ключи от нескольких промежуточных сертификатов индийского УЦ eMudhra оказались легко угадываемыми, поскольку из-за нарушения процедур работы с ключами их значения лежали в интервале от 1 до 255.

Эксперт подчеркнул, что соответствующие промежуточные сертификаты УЦ были выпущены еще в 2025 году, но странность заметили только 17 октября 2026 года: долгое время некорректные ключи не замечали ни разработчики браузеров, ни сами УЦ, ни операторы Certificate Transparency.

«Зная секретный ключ от доверенного сертификата УЦ, можно выпускать доверенные оконечные сертификаты, которые будут приниматься различными программами, в том числе „коробочными“ веб-браузерами», — подчеркнул эксперт. При этом, указал Венедюхин, такие возможности позволяют злоумышленникам подменять TLS-узлы.

Эксперт также указал, что факт угадываемости секретных ключей означает, что они автоматически известны всем, кто ими интересуется. «Этот момент дополнительно затрудняет эффективный отзыв и блокирование данных ключей», — заключил Венедюхин.

Чем грозит уход eMudhra её компаниям-пользователям

По мнению директора направления «Информационная безопасность» компании «Рексофт» Сергея Бабкина, компрометация сертификатов eMudhra на 100% повлечет последствия в ИТ-инфраструктуре, в которой они использовались. Эксперт подчеркнул, что уже появилась информация об отзыве корневого сертификата компаниями Google, Apple, Mozilla и Microsoft, которые ранее уже заблокировали скомпрометированные сертификаты.

«С точки зрения пользователя и картинки в веб-браузере это будет выглядеть в виде сообщения „Ваше соединение не защищено“», — отметил собеседник. На практике же, как выделил Бабкин, это будет означать потерю защищенности данных, возможность реализации атак типа «Man-in-the-Middle» и расшифровки трафика.

Эксперт указал, что приложения, которые используют в API сертификаты TLS, могут просто перестать работать, поскольку такие ошибки обычно обрабатываются как критические и не позволяют создать защищенное соединение.

Ведущий эксперт по сетевым угрозам, веб-разработчик «Кода Безопасности» Константин Горбунов уточнил, что уход eMudhra с рынка — это в первую очередь техническая проблема для всех, кто завязан на ее цепочке доверия. «Катастрофы в виде массовых „падений“ сайтов ждать не стоит, однако частичные сбои возможны», — объяснил эксперт.

Среди самых очевидных рисков, по мнению собеседника SecPost, выделяется возможность того, что у владельцев сайтов и сервисов, чьи сертификаты выстраиваются в цепочку до корневого сертификата eMudhra, возникнут проблемы.

«Популярные браузеры уже удалили этот сертификат из доверенных, и это значит, что легитимные, оплаченные и технически исправные сертификаты eMudhra перестанут приниматься браузером, то есть пользователь увидит ошибку „Ваше подключение не защищено“ на абсолютно рабочем сайте», — подчеркнул эксперт. При этом Горбунов указал, что для e-commerce и банковских приложений даже несколько часов подобного простоя несут прямые потери выручки и репутационный ущерб.

Второй же, по мнению эксперта, менее заметный класс рисков касается корпоративной ИТ-инфраструктуры. Горбунов подчеркнул, что популярные браузеры, такие как Chrome и Firefox, заблокировали скомпрометированные промежуточные сертификаты, но значительная часть корпоративной инфраструктуры проверяет TLS по собственным правилам.

«Для таких систем нужны выпуски новых версий ПО. Пока это не сделано, злоумышленник с доступом может провести атаку MITM и перехватить трафик», — заключил собеседник.

Эксперт по ИБ «Инфосистемы Джет» Дмитрий Булгаков также указал, что компании, использующие сертификаты eMudhra, рискуют столкнуться с внезапной недоступностью точки проверки списка отозванных сертификатов или массовым отзывом TLS-сертификатов без предупреждения.