Mozilla eMudhra CA ning sakkizta oraliq (ikkilamchi) ildiz sertifikatlari bilan bog'liq shaxsiy kalitlarning buzilishi haqida ogohlantirdi. Buzilgan kalitlar har qanday veb-saytga barcha brauzerlarda ishonchli ko'rinadigan soxta TLS sertifikatlarini chiqarish va ulardan tranzit trafikni ushlab qolish yoki o'zgartirish uchun foydalanish imkonini berdi.
Tadqiqotchilar P-384 elliptik egri chiziqli kalit yaratish jarayonidagi xato tufayli ommaviy ma'lumotlardan shaxsiy kalitlarni qayta tikladilar. Xato natijasida kalitlar kriptografik jihatdan kuchli tasodifiy sonlar o'rniga initsializatsiya uchun 256 dan kichik butun sonlar yordamida yaratildi, natijada kerakli 48 bayt o'rniga 1 bayt shaxsiy kalit hajmi paydo bo'ldi. Ushbu avlod yordamida shaxsiy kalitni diskret logarifm algoritmi yoki oddiy qo'pol kuch hujumi yordamida dastlabki 256 ta mumkin bo'lgan kalitlarni yaratish uchun qayta tiklash mumkin. Shaxsiy kalit qiymatlari endi ma'lum bo'lganligi sababli (4, 56, 66, 115, 155, 156, 230 va 237), barcha foydalanuvchilarga brauzerlari va ildiz sertifikat paketlarini zudlik bilan yangilash tavsiya etiladi.
Sizib chiqqan shaxsiy kalitlarning isboti sifatida, hodisa haqida xabar bergan tadqiqotchi sakkizta buzilgan eMudhra sertifikatlarining har biri uchun shaxsiy kalitlar bilan imzolangan xabarni e'lon qildi. Hodisaga bag'ishlangan veb-saytda bekor qilingan sertifikatlar haqidagi yangilangan ma'lumotlarni brauzeringizda tekshirishingiz mumkin.
Firefox 158.0.1, 115.43.1 va 153.5.1 yamoqlari, shuningdek, NSS 3.131.1 kutubxonalari zudlik bilan chiqarildi, ular asosiy sertifikatlar omborini yangiladi va ta'sirlangan sertifikatlarni blokladi. Buzilgan sertifikatlar 17-oktabrda Chrome va Google mahsulotlarida, 19-oktabrda Apple mahsulotlarida va 20-oktabrda Microsoft mahsulotlarida bloklandi. Bloklash shuningdek, markazlashtirilgan sertifikatlarni bekor qilish ro'yxatlari OneCRL, CRLite va CRLSets orqali amalga oshirildi.
Yangilangan ildiz sertifikatlariga ega paketlar chiqarildi Ubuntu (ca-sertifikatlari 20260816ubuntu0.2*.04.1), Debian (ca-sertifikatlari 20250419+deb13u1), Arch Linux (ca-certificates-mozilla 3.131.1-1), Gentoo (ca-certificates 20260816.3.125), curl, Homebrew, Go (1.27.3, 1.26.10), Python, RustTLS, Electron va Elixir. FreeBSD, Node.js, Bun va Composer uchun asosiy sertifikatlar ro'yxati eskirgan.
ca-certificates paketini yangilashdan oldin, muammoli ildiz sertifikatlarini qo'lda olib tashlash uchun Debian и Ubuntu buyruqdan foydalanishingiz mumkin:
sed -i \
-e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
-e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \
/etc/ca-certificates.conf && ca-certificates-ni yangilash
Fedora, RHELda, CentOS Oqim, Rocky Linux, AlmaLinux va Amazon Linux 2023:
d=/etc/pki/ca-trust/source/blocklist; [-d $d] || d=/etc/pki/ca-trust/source/blacklist
ishonch ekstrakti --overwrite --format=pem-bundle \
—filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
$d/Comodo_AAA_Services_root.pem &&
ishonch ekstrakti --overwrite --format=pem-bundle \
—filter=’pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert’ \
$d/emSign_ECC_Root_CA_-_G3.pem &&
yangilash-ca-trust
openSUSE va SLES da:
d=/etc/pki/ishonch/bloklash ro'yxati; [-d $d] || d=/etc/pki/ishonch/qora ro'yxat
ishonch ekstrakti --format=pem-bundle \
—filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
$d/Comodo_AAA_Services_root.pem &&
ishonch ekstrakti --format=pem-bundle \
—filter=’pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert’ \
$d/emSign_ECC_Root_CA_-_G3.pem &&
yangilash-ca-sertifikatlari
NixOS’da:
security.pki.caCertificateBlacklist = [
Comodo AAA xizmatlarining ildizi
emSign ECC Ildiz CA — G3
];
NetBSD da:
certctl ishonchsiz /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem &&
certctl ishonchsiz /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem
Manba: opennet.ru
