1/2Ну как уязвимость. Там у индийского certificate authority приватный ключ на Intermediate CA был 4. Просто четыре. ЧЕТЫРЕ. Если что, там должно было быть число длинною в 384 бита, т.е. с 116 нулями.
ЧЕТЫРЕ, КАРЛ!
Современная структура безопасности в интернете построена примерно так:
1. есть группа доверенных компаний, которые выпускают сертификаты для конечных потребителей (владельцев сайтов)
2. есть конечные сайты, которые эти сертификаты себе ставят (и получают уверенность, что трафик между Сайтом и Клиентом никто не может взломать)
3. и есть клиенты (мы с вами), которые верят, что компании из п.1 живут ответственно
Если приватные ключи от компании из п.1 оказываются в общем доступе — всё, абзац. Если этот ключ ко всему прочему ЧЕТЫРЕ !!!!!!!!!! то это значит что все последние два года кто угодно мог проводить MITM-атаки на абсолютно весь https трафик в интернете.
Любой — вы в том числе! — можете выписать валидный https сертификат на абсолютно любой сайт. telegram.org? ubuntu.com? microsoft.com? chatgpt.com? Все выписанные сертификаты будут валидны, пока не пройдёт процесс отзыва (intermediate CA), а в каких-то случаях это самое обновление безопасности может не прийти никогда! Например, в старый смартТВ, приложение на go/rust (пока их не перекомпилите) и т.д.
Это значит, что любой в цепочке "от вас до конечного сайта" — ваш роутер, ваш провайдер, товарищ майор, ТСПУ, ваш провайдер VPNа — мог незаметно проводить атаку MITM, расшифровывать ваш трафик, читать его, изменять, подставлять другое содержимое (!), зашифровывать его обратно — и всё почти бесследно.
Это катастрофа.
P.S. если у вас в домашней сети есть умное устройство, которое не очень поддавалось взлому — прямо ща вы можете его отлично за-MITM-ошить и поломать. Умный телек там или плойку какую-нибудь.
Почитать далее: https://emudhra.we-have-a-problem.com/











