TLS сертификати (кой гарантира, че сайтът е този, за който се представя)

Веригата е на стъпки. В списъка на браузъра стоят коренови сертификати. Коренът подписва междинни сертификати, а междинните издават сертификатите на самите сайтове. Достатъчно е браузърът да вярва на корена, за да приема подписаното надолу по веригата. Удобно е: не е нужно да познава всеки сайт на света. Но е и слабото място, защото целият доверен клон зависи от ключовете на междинния сертификат.

Октомври 2026 показа какво значи това на практика. На 17 октомври Mozilla получи сигнал, че частните ключове на осем междинни сертификата на удостоверителя eMudhra са компрометирани. Mozilla пише, че с тях нападател може да издаде фалшиви HTTPS сертификати за сайтове, които не контролира, и ако прихване връзката на потребителя, да се представи за сайта и евентуално да чете или променя трафика. Cloudflare, която също отразява случая, твърди, че самите ключове са слаби, и че на 19 октомври е научила за пробива. Не е дупка в програма, а изтекли ключове.

Браузърът не чака потребителите да обновяват. Mozilla блокира сертификатите във Firefox през OneCRL - своя централен списък на отменени сертификати, който стига до потребителите без обновяване и без рестарт. До 22:59 UTC същия ден, по-малко от три часа след сигнала, обновеният списък вече е стигнал до всички със стандартни настройки. Cloudflare го описва така: браузърите са го оправили с едно превключване, защото повечето имат бърз начин за отмяна, като CRLSets при Chrome.

Доверието в сертификата е толкова здраво, колкото е ключът на този, който го е подписал.

Какво остава извън браузъра

Браузърът е едно приложение, а софтуерът, който проверява сертификати, е стотици. Затова Mozilla пусна и версия 3.131.1 на списъка NSS, който маха корена, подписал засегнатите междинни сертификати - за да се пазят и другите програми, които ползват списъка на Mozilla и не получават OneCRL. Cloudflare предупреждава, че само обновяване на SDK може да не стигне: проверката може да е в библиотека, в средата за изпълнение, в операционната система или в собствена настройка, а успешен тест в браузър не доказва, че фонова услуга е защитена. За собствените си услуги Cloudflare не е открила активна експлоатация.

Нашият прочит: това е сродна логика с DNS и DNSSEC (виж възела за тях) - печат върху доверието, който работи, докато ключът е у правилния човек. Там най-често се чупи при смяна на ключ по невнимание, тук - когато ключът изтече. И в двата случая потребителят нищо не вижда, докато не го прочете в новина.

Визуалът е генериран код-арт, без чужди изображения.