«Яндекс» сообщил 28 октября, что с 21 по 23 октября автоматически обновил все свои активные умные колонки — речь идёт о миллионах устройств — и абсолютное большинство партнёрских устройств. Исправление закрывает возможность подменить конфигурацию «Яндекс Станции» с помощью скомпрометированных сертификатов eMudhra.
Уязвимость была частью более крупного инцидента в инфраструктуре доверенных интернет-сертификатов. 17 октября исследователь под псевдонимом Wayne сообщил, что смог вычислить закрытые ключи восьми промежуточных удостоверяющих центров eMudhra по их открытым сертификатам. Закрытые ключи оказались числами от 1 до 255, поэтому для их восстановления было достаточно перебрать 255 вариантов.
Такие ключи позволяли выпускать поддельные сертификаты, которые могли выглядеть для программ как настоящие. Злоумышленник, способный контролировать соединение между устройством и сервером, получал возможность провести атаку «человек посередине»: прочитать передаваемые данные либо изменить их. Cloudflare охарактеризовала компрометацию как серьёзный инцидент с последствиями для систем по всему интернету, а Microsoft отдельно заблокировала затронутые центры сертификации в Windows и Edge.
Читайте также
В случае со «Станциями» поддельный сертификат позволял подменить получаемую с сервера конфигурацию и включить ADB — служебный интерфейс для диагностики и отладки. Энтузиасты применили эту схему к собственным колонкам и подключились к ним с правами root, то есть с максимальными полномочиями в операционной системе.
Тот же механизм теоретически можно было использовать без согласия владельца — для перехвата данных или дальнейших атак на другие устройства в домашней сети. Однако одного нахождения рядом с колонкой было недостаточно: атакующему сначала требовалось получить контроль над её сетевым трафиком, например предварительно взломав домашний роутер.
Обновление «Яндекса» автоматически перезаписывает скомпрометированные системные файлы, удаляет доверие к опасным сертификатам и закрывает доступ через ADB. После его установки подменить конфигурацию колонки с помощью этих сертификатов уже нельзя. Владельцам активных «Яндекс Станций» не требуется вручную искать или устанавливать исправление.
Инцидент важен не только владельцам колонок: сертификаты eMudhra использовались в разных операционных системах, приложениях и устройствах. Исправления также выпустили браузеры, Windows, Android, Linux-дистрибутивы, SteamOS и ряд инструментов разработчиков. При этом опубликованных данных о реальных атаках на чужие «Яндекс Станции» пока нет — подтверждена возможность атаки и её устранение, а не массовый взлом пользователей.