В адрес Mozilla поступило сообщение о компрометации закрытых ключей, связанных с восемью промежуточными сертификатами удостоверяющего центра eMudhra. Такие ключи теоретически позволили бы выпустить поддельный сертификат для сайта, который злоумышленнику не принадлежит. При возможности перехватить соединение это создаёт риск подмены сайта и доступа к передаваемым данным. Важно не путать этот сценарий с доказанным взломом всех сайтов или самого браузера: сообщение Mozilla описывает потенциальную угрозу и принятые меры, а не подтверждённую массовую атаку.

Почему промежуточный сертификат так важен

Когда браузер открывает сайт по HTTPS, он проверяет цепочку доверия. Сертификат сайта должен вести через промежуточный сертификат к корневому центру, которому браузер доверяет. Закрытый ключ промежуточного звена нужен для подписания сертификатов ниже по цепочке. Если он оказывается у постороннего, доверять таким подписям больше нельзя. Именно поэтому проблему решают не сменой значка замка на странице, а отзывом доверия к затронутым сертификатам.

Что сделала Mozilla

О проблеме команда Firefox узнала 17 октября. Затронутые сертификаты добавили в OneCRL — централизованный список блокировки, который браузер получает без установки новой версии и перезапуска. По данным Mozilla, распространение изменения для обычных конфигураций завершилось менее чем за три часа после получения сообщения. Это важная особенность механизма: защита может прийти быстрее полноценного обновления приложения.

Дополнительно 20 октября были объявлены Firefox 158.0.1 для компьютеров и Android, а также обновления веток ESR 115.43.1 и 153.5.1. Они рассчитаны, в частности, на пользователей с нестандартными настройками, которым могла не доставиться блокировка через OneCRL. Mozilla также обновляет хранилище доверенных сертификатов NSS, удаляя корневой сертификат, подписавший затронутые промежуточные. Это расширяет защиту на приложения, использующие такое хранилище, но не получающие обновления OneCRL.

Что стоит сделать пользователю

Самое практичное действие — проверить, что Firefox обновлён, и не отключать штатное получение защитных изменений. Если браузер управляется организацией, лучше уточнить у администратора, как там доставляются обновления и списки отзыва: корпоративные политики могут отличаться от стандартной установки. Предупреждение о недоверенном сертификате не следует обходить ради доступа к сайту, особенно если речь идёт о входе в аккаунт или платеже.

При этом сам по себе привычный значок HTTPS не доказывает, что сайт надёжен во всех отношениях. Он говорит о проверке соединения по правилам браузера. Пользователю всё равно стоит смотреть на адрес страницы, не переходить по подозрительным приглашениям и использовать актуальную версию программы. История с eMudhra показывает, насколько важна возможность быстро изменить доверие к сертификатам уже после их выдачи.