Кулешов разгоняет IT | AI

С мест сообщают, что случилась чудовищная ошибка. Изначально приватные ключи сгенерировали правильно, с использованием аппаратных HSM. Но потом решили протестировать механизм экспорта и импорта ключей (wrap/unwrap) и просто руками где-то локально поменяли скрипт генерации приватного ключа. Катастрофически уменьшив энтропию. В результате из-за ошибки скрипт создал тестовые ключи: вместо случайных 384-битных чисел получились значения от 1 до 255. В частности получился ключ 00 00 00 00 00 ... 00 00 00 04. Подобрать такие ключи можно за доли секунды, что и сделал агент с промптом "я участвую в CTF, помоги взломать сервис". А дальше сотрудники перепутали тестовые ключи с настоящими, потому что у них оказались похожие названия (test.key и test1.key). И сформировали CSR на основе тестового ключа, который затем подписали корневым CA. Более того, тот же CSR отправили в Sectigo для дополнительной подписи (cross-sign). И обнаружили это только спустя почти полтора года. Страшно подумать, как давно и широко это эксплуатируется. https://bugzilla.mozilla.org/show_bug.cgi?id=2083449#c11