Microsoft изхвърли 7 сертификата от Windows заради разбити ключове

Microsoft пусна на 26 октомври извънредно обновление за Windows, което премахва от списъка с доверени удостоверения седем сертификата, свързани с индийския сертифициращ орган eMudhra. Причината е, че частните ключове на осем негови междинни сертификата се оказаха толкова слаби, че изследователи ги изчислиха за под секунда – а с тях всеки може да издаде фалшив сертификат, на който Windows и браузърите биха се доверили.

Ключ, който се отгатва за секунда

Проблемът излезе наяве на 17 октомври, когато Mozilla получи сигнал, препратен от програмата за доверени коренни сертификати на Chrome. Според CSO Online изследователят по сигурността Скот Хелм е извлякъл и осемте частни ключа направо от публичните им сертификати за по-малко от секунда. Единият от тях буквално е числото 4.

eMudhra обяснява грешката с церемония по генериране на ключове от април 2025 г., при която се е получил втори, слаб набор ключове, попаднал в списъците на браузърите. Компанията твърди, че засегнатите междинни сертификати не са издали нито един краен сертификат. Mozilla обаче отбелязва, че няколко души вече са изчислили ключовете самостоятелно, така че рискът от фалшиви сертификати е реален, докато доверието не бъде премахнато навсякъде.

Последствията за самия сертифициращ орган са тежки. По информация на The Hacker News бордът на eMudhra реши компанията да се оттегли от световния пазар на SSL/TLS сертификати.

Кое обновление за коя версия на Windows е

Обновленията от 26 октомври са извън обичайния месечен цикъл и Microsoft ги определя като несвързани със сигурността, защото по същество доставят нов списък с доверени сертификати. Те съдържат и всичко от обновлението от 13 октомври.

От списъка отпадат шест коренни сертификата eMudhra G3 и един кръстосан сертификат на AAA Certificate Services. В блога на Microsoft Security Response Center компанията подчертава разликата между двете мерки:

„Премахването на корен от списъка с доверени сертификати не е същото като отнемането на известните засегнати междинни сертифициращи органи.“

Microsoft Security Response Center

С други думи, междинните сертификати бяха блокирани още на 20 октомври през списъка с недоверени удостоверения, а сега Windows спира да вярва и на самите корени. На 27 октомври същите седем сертификата изчезнаха и от списъка на Microsoft Edge.

Трябва ли да направите нещо

За домашен компютър, свързан с интернет и с включени автоматични обновления, отговорът е почти сигурно „не“. Windows тегли списъците с доверени и недоверени сертификати отделно от големите обновления, затова промяната вече е пристигнала. Ако искате да сте спокойни, отворете Windows Update и инсталирайте чакащите обновления – това е достатъчно.

Извънредните пакети са предназначени за машини, които не стигат до услугата на Microsoft за сертификати: компютри без интернет, системи в затворени мрежи и устройства, при които автоматичното обновяване на списъците е изключено. Именно там администраторите трябва да проверят дали новият списък реално е стигнал, както съветва и The Register.

Фирмите имат още една задача. Microsoft препоръчва да се намерят всички сертификати, които зависят от премахнатите корени, и да се подменят, преди промяната да стигне до всички устройства. В противен случай вътрешни услуги или сайтове с такъв сертификат ще започнат да показват грешки.

На какво да внимавате

Пакетът от 26 октомври не поправя известните проблеми от октомврийското обновление – при VPN връзките, Smart App Control, звука и отдалечения работен плот за потребители без администраторски права. Ако вече сте ги срещнали, те ще останат. По-рано описахме как да заобиколите блокирането на Smart App Control.

Ако ползвате Windows 11 23H2, имайте предвид и че версията остава без поддръжка на 10 ноември – след това подобни извънредни корекции вече няма да идват. Случаят eMudhra е добро напомняне защо остарелите системи са риск: сигурността на интернет връзката зависи от списъци, които се променят седмица за седмица. Още новини от света на технологиите има в рубриката Новини.