https://www.opennet.me/openforum/vsluhforumID3/142349.html Компания eMudhra раскрыла дополнительные детали, связанные с инцидентом, в результате которого у восьми корневых сертификатов удостоверяющего центра оказались легко подбираемые закрытые ключи, имеющие всего 1 байт энтропии вместо 48. Помимо изначально выявленных проблемных промежуточных корневых сертификатов сообщается об отзыве ещё 8, но не из-за проблем с энтропией. Разбор показал, что источником проблем с энтропией стал созданный своими силами Python-скрипт, применяемый для переноса закрытых ключей между аппаратными хранилищами ключей (HSM) разных производителей. Перенос ключей был обусловлен задержками поставки усовершенствованных моделей HSM, удовлетворяющих новым требованиям к удостоверяющим центрам...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66670<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#96 Sat, 14 Nov 2026 13:32:47 GMT &gt; Хотелось бы грязных подробностей!(С)<br><br>MitM не слышал о таком?<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#95 Fri, 13 Nov 2026 18:21:11 GMT &gt;&gt; или самоделка на ssh CA <br>&gt; Чёо?<br>&gt; Вот прямо в твоём, который у тебя установлен, поищи про: TrustedUserCAKeys <br><br>Э? Ну, в смысле внутри организации в какой-то момент тебе придётся (одно из решений) САМОМУ САМОСДЕЛАТЬ этот самый ssh CA.<br>Не в смысле "ssh патчить" или "чего-то там васянить", а на базе ssh CA разворачивать этот самый CA. <br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#94 Fri, 13 Nov 2026 18:05:08 GMT # grep -ril "eMudhra" /etc/ssl/certs /usr/share/ca-certificates /etc/pki/ca-trust /usr/local/share/ca-certificates 2&gt;/dev/null<br>/usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit<br># ll /usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit<br>-rw-r--r-- 1 root root 1045939 Nov 4 15:19 /usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit<br><br>Ага-ага :) Но с другой стороны мразила и "уважаемые" ... :)<br>Ща, новый апдейт браузеру сделают, наверно и траст сорсы починят :)<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#93 Fri, 13 Nov 2026 17:48:02 GMT 8-o<br><br>Хотелось бы грязных подробностей!(С)<br><br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#92 Fri, 13 Nov 2026 17:32:12 GMT Нет - увы не ошибается.<br><br>&gt; Ваша первая попытка подключения и сохранение отпечатка\самого публичного ключа и есть по сути микро-уц)<br><br>Да чего там - бросай тогда монету!<br>Если админы фингерпринты не прислали - то это лотерея. А они-ж не прислали да? ;-)<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#91 Fri, 13 Nov 2026 17:23:34 GMT &gt; или самоделка на ssh CA<br><br>Чёо?<br>Вот прямо в твоём, который у тебя установлен, поищи про: TrustedUserCAKeys <br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#90 Fri, 13 Nov 2026 08:58:46 GMT много букв , чаитать устал .. вспомним как было : вначале просто http , потом ввели самоподписной https - ура как здорово и надёжно !<br><br>потом вдруг откуда не возмись - появились доверенная прослойка - ура как здорово и надёжно !<br><br>через некоторое время всех приучили и сделали работать без прослойки очень невозможно .. уже не ура , но все в стойле <br><br>следующие событие - платный https - ура вот теперь то и заживём !<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#89 Fri, 13 Nov 2026 07:45:55 GMT &gt; Какой "мужик по середине", если обмен ТОЛЬКО открытыми ключами происходит?<br><br>Ты че серьезно? Ты думаешь, что публичный ключ можно публично передавать? :))) Наивный.<br> https://www.opennet.me/openforum/vsluhforumID3/142349.html#88 Fri, 13 Nov 2026 04:27:07 GMT Ошибаетесь. Ваша первая попытка подключения и сохранение отпечатка\самого публичного ключа и есть по сути микро-уц)<br>