Google 27 октября исключит корневой сертификат eMudhra из Chrome

Google планирует утром 27 октября по тихоокеанскому времени распространить обновление Chrome Root Store, которое исключит корневой сертификат emSign ECC Root CA - G3 компании eMudhra. На момент подготовки материала компания не сообщала, что развёртывание завершено, поэтому речь идёт о запланированном изменении, а не о подтверждённом полном отключении.

Причиной стал отчёт, полученный программой Chrome Root 17 октября в 18:05 UTC. У восьми подчинённых центров сертификации eMudhra закрытые ключи были созданы со слишком слабой случайностью. Такой дефект позволял восстановить ключи и выпускать поддельные сертификаты для клиентов, которые продолжали им доверять.

Chrome заблокировал отпечатки затронутых ключей через CRLSet примерно через час и сорок минут после сообщения. Аналогичное обновление для большинства Android-устройств пришло через сервисы Google Play к вечеру 19 октября. Google уточнила, что до блокировки в журналах Certificate Transparency не обнаружили пользовательских TLS-сертификатов, подписанных шестью затронутыми веб-центрами. Это снижает риск для Chrome и других клиентов, которые обязательно проверяют такие журналы.

Для обычных пользователей защита устанавливается автоматически. Владельцы Android-устройств могут перезагрузить телефон, чтобы ускорить получение обновления; вручную удалять сертификаты или менять настройки браузера не требуется.

Владельцам сайтов и инфраструктуры, использующей emSign ECC Root CA - G3, нужно:

1. Проверить цепочку действующего TLS-сертификата.
2. Если она заканчивается на исключаемом корне, получить новый сертификат из другой иерархии, присутствующей в Chrome Root Store.
3. После замены проверить сайт в актуальных версиях браузеров и в серверных клиентах, которые используют собственные хранилища доверия.

После распространения нового списка некоторые легитимные сайты со старой цепочкой могут показывать ошибку защищённого соединения. Обновление Chrome не означает автоматического исправления всех серверов, контейнеров, сред разработки и встроенных устройств: их хранилища сертификатов обновляются отдельно. Google продолжает оценивать остальные сертификаты eMudhra и обещает публиковать дальнейшие решения через открытые отраслевые каналы.

Источник: Chrome and Android Security Teams.