Если в вашей ленте начали мелькать мемы про число 4, а вы не в курсе о чём вообще речь, то ловите эпическую историю про индусов, информационную безопасность, слабоумие и отвагу. Контекст: сертификаты индийского удостоверяющего центра eMudhra были скомпрометированы по причине «админ — индус». На всякий случай поясню для тех, кто не в курсе. Удостоверяющий центр (CA) — организация, которой доверяют браузеры. Она проверяет право на использование домена и выдаёт цифровой сертификат, подтверждающий, что условный банк.ру - это реально сайт банка. У владельца цифрового сертификата есть два математически связанных ключа: 1) Приватный (закрытый) ключ. Его секрет известен только владельцу и с его помощью можно ставить цифровую подпись, которую невозможно подделать, не зная ключа. 2) Публичный (открытый) ключ — доступен всем желающим. Он позволяет проверить, что подпись действительно была создана соответствующим приватным ключом. В нормальных условиях приватный ключ — огромное случайное число длиной до 384 бит. Это примерно 10^115 возможных вариантов, поэтому «подобрать» правильный почти невозможно. На сложности этой задачи фактически и строится весь современный интернет, точнее безопасность в нём. Тогда как же злобные хакеры смогли взломать индусский Удостоверяющий Центр? Они построили квантовый компьютер, который смог перебрать все варианты за разумное время? В алгоритме шифрования, которым пользуется весь мир уже не один десяток лет, нашли уязвимость? ЛУЧШЕ. Приватные ключи восьми промежуточных удостоверяющих-сертификатов оказались настолько надёжными, что их смогли восстановить буквально за доли секунды. Вместо случайных 384-битных чисел там использовались 4, 56, 66, 115, 155, 156, 230 и 237. Да, один из приватных ключей удостоверяющего центра, которому доверяли крупнейшие браузеры мира, — буквально 4. Не 4 с ещё сотней цифр. Просто 4. Получив эти ключи можно было подделывать сертификаты HTTPS для произвольных сайтов, пока доверие к скомпрометированным CA не было заблокировано. При этом восемь практически общедоступных ключей существовали с апреля 2025 года, а проблему обнаружили лишь в октябре 2026-го. Индусы оправдываются, мол, ошибка в скрипте создала слабые ключи, а сотрудники решили, что так и надо, поэтому использовали их вместо правильных. В целом, учитывая мой опыт взаимодействия с индийским ИТ — вполне себе верю. У ребят критическое мышление порой напрочь отключается, когда кто-то авторитетный им что-то говорит. При этом под «авторитетный» подходит +- кто угодно, от рабочего скрипта, навайбкоженного за 5 минут, но представленного руководителем, как рабочий инструмент, до сотрудника службы поддержки вендора (порой такого же индуса, но с ещё меньшей квалификацией). Я неоднократно слышал кулстори, как особенно одарённые сотрудники поддержки продуктов убеждали клиента выстрелить себе в ногу и тот, даже будучи в целом вменяемым, соглашался (ну он же работает в компании Х — он знает, что делает на самом деле нет, он не знает). Но вернёмся к самой истории. Казалось бы, Google, Mozilla, Apple и Microsoft уже экстренно отозвали доверие к проблемным сертификатам, вот только это вообще не решает проблему, потому что опасность сохраняется для программ, серверов и устройств, которые не проверяют, был ли сертификат отозван. Это приложения, платёжные системы, умная техника, роутеры и даже автомобили. Некоторые устройства с устаревшей прошивкой могут оставаться уязвимыми вплоть до 2039 года — пока не истекут сроки действия скомпрометированных сертификатов. Что делать обычному человеку? По возможности обновить операционную систему, браузер, приложения и прошивки устройств. Но, скорее всего, уязвимость сохраниться "под капотом", особенно для всяких бытовых устройств и старых серверных приложений. Справедливости ради, злоумышленнику надо ещё перехватить ваш траффик, чтобы реализовать атаку. И это ещё один повод не подключаться к непонятным бесплатным вайфаям...