Всего 256 попыток на взлом. Microsoft выпустила экстренный патч для Windows из-за слабых криптографических ключей
Microsoft экстренно выпустила обновления Windows после обнаружения восьми криптографических ключей, которые можно подобрать всего за 256 попыток. Проблема затронула удостоверяющий центр eMudhra и позволяла потенциально выдавать поддельные сертификаты за настоящие.
Опасные ключи принадлежали промежуточным удостоверяющим центрам eMudhra. Шесть использовались для TLS-сертификатов, защищающих соединения с сайтами, ещё два предназначались для цифровой подписи программ. Все восемь ключей создали в апреле 2025 года, причём значения оказались меньше 256. Подбор столь малого числа вариантов практически не требует вычислительных ресурсов.
Владея такими ключами, злоумышленник мог выпускать сертификаты от имени доверенного центра. В зависимости от назначения ключа под угрозой оказывались проверка подлинности сайтов и доверие к подписанным файлам. При подходящих условиях поддельный сертификат мог помочь перехватывать зашифрованный трафик. При этом Microsoft не сообщала о взломе собственных систем.
Первую защиту компания ввела ещё 20 октября, добавив восемь затронутых промежуточных центров в список недоверенных сертификатов Windows. Для Edge и WebView2 отдельно обновили CRLSet, чтобы браузерные компоненты блокировали опасные TLS-сертификаты без установки новой версии браузера. Сама eMudhra также отозвала восемь проблемных промежуточных сертификатов.
26 октября Microsoft пошла дальше и исключила из списка доверенных семь сертификатов, связанных с затронутыми цепочками. Среди них шесть корневых сертификатов eMudhra G3 и один перекрёстный сертификат AAA Certificate Services. Удаление доверия к корню затрагивает более широкий круг сертификатов, чем блокировка восьми известных слабых ключей. Для Edge аналогичное изменение назначили на 27 октября.
Внеочередные пакеты нужны прежде всего компьютерам, которые не получают автоматические обновления списков доверия. Речь об изолированных сетях, устройствах без доступа к службе сертификатов Microsoft и системах с отключённым обновлением CTL. Для обычных подключённых компьютеров изменения распространяются штатным механизмом, поэтому отдельная ручная установка, как правило, не требуется.
Для Windows 11 версий 24H2, 25H2 и 26H2 вышел KB5134133, для 23H2 выпустили KB5134130, а для 26H1 подготовили KB5134134. Windows 10 версии 22H2 и Enterprise LTSC 2021 получили KB5134125. Отдельные пакеты предусмотрены для Windows Server 2016, 2019, 2022 и 2025. Microsoft разместила их в каталоге обновлений для администраторов.
В официальном разъяснении Microsoft рекомендует проверить изолированные машины и найти сертификаты, чьи цепочки ведут к исключённым корням. Владельцам таких сертификатов может потребоваться перевыпуск или другая доверенная цепочка. Компания продолжает изучать оставшиеся корневые сертификаты eMudhra и допускает дополнительные изменения. Возвращать доверие вручную без оценки рисков опасно.