Нидерландский удостоверяющий центр DigiNotar выдал сотни мошеннических сертификатов, включая wildcard-сертификат на *.google.com. Им воспользовались для перехвата трафика иранских пользователей через атаку «человек посередине». Microsoft, Mozilla, Google и Apple за считанные дни вычеркнули корневой сертификат DigiNotar из списков доверия. Голландское правительство, которое использовало DigiNotar в инфраструктуре PKIoverheid, взяло компанию под государственный контроль. Это не рядовой инцидент – это удар по самому фундаменту доверия в интернете.

Почему один взлом обрушил доверие к целой отрасли

Вся модель TLS держится на простом допущении: удостоверяющий центр выдаёт сертификат только тому, кто реально владеет доменом. Браузер доверяет нескольким сотням корневых УЦ, и любой из них может подписать сертификат для любого домена в мире. Скомпрометируйте один УЦ и вы подделаете что угодно: банк, почту, портал госуслуг.

DigiNotar показал, что цепочка доверия рвётся по слабейшему звену. Злоумышленники проникли в инфраструктуру выпуска сертификатов, а компания неделями не раскрывала масштаб ущерба. Без отзыва и без честного аудита логов невозможно даже сказать, сколько поддельных сертификатов гуляет на свободе. Браузеры выбрали единственный рабочий вариант – полностью аннулировать доверие.

Это второй за год громкий провал в инфраструктуре аутентификации. Весной мы разбирали компрометацию RSA SecurID, где под угрозой оказались токены двухфакторной аутентификации. Закономерность очевидна: централизованные корни доверия – лакомая мишень, и атакующие целят именно в них.

Что это значит для бизнеса и госсектора в России

Российские организации зависят от тех же корневых УЦ, что и весь мир. Если ваш веб-портал, VPN или внутренние сервисы используют сертификат от скомпрометированного центра, после отзыва он перестанет работать – пользователи увидят ошибки, интеграции упадут. Для госсектора с собственными требованиями к электронной подписи и защищённым каналам риск выше: цепочки доверия здесь длиннее и зачастую непрозрачнее.

Практические шаги, которые стоит сделать уже сейчас:

  • Проведите инвентаризацию: какие УЦ выпускали ваши сертификаты, где они применяются, кто за них отвечает.
  • Обновите доверенные корни на серверах, в браузерах и встроенных системах – патчи от вендоров уже выходят.
  • Заложите процедуру быстрого перевыпуска сертификатов на случай, когда отзывают целый корень, а не один сертификат.
  • Проверьте, обрабатывают ли ваши сервисы статус отзыва (OCSP, CRL) – многие клиенты молча игнорируют недоступность списков.

Чем больше критичных процессов уходит в онлайн – а программное обеспечение пожирает мир, и это уже не метафора, – тем дороже обходится слепое доверие к внешнему звену, которое вы не контролируете.

Архитектура вместо надежды на УЦ

Один отозванный корень не должен ронять весь сервис. Закладывайте устойчивость на уровне архитектуры: разделяйте внешний и внутренний PKI, держите запасного поставщика сертификатов, автоматизируйте перевыпуск. Для распределённых систем, особенно при гибридной облачной стратегии, управление сертификатами должно стать частью инфраструктурного кода, а не ручной операцией под давлением инцидента.

Превратить эти принципы в работающую защиту помогает аудит PKI с интеграцией отзыва сертификатов и реагированием на инциденты – для бизнеса и госсектора.

Вывод

DigiNotar – напоминание, что доверие в интернете не абсолютно, а делегировано конкретным компаниям, которые тоже взламывают. Не полагайтесь на то, что корневой УЦ всегда останется доверенным. Стройте инфраструктуру так, чтобы пережить отзыв любого звена без простоя и паники.