Cato удалил 11 сертификатов Центра сертификации (CA) eMudhra из хранилища доверия, используемого для инспекции TLS, после сообщения о компрометации закрытых ключей, которые связаны с восемью промежуточными сертификатами CA. Эти ключи могут позволить злоумышленнику выпускать фальшивые сертификаты и выдавать себя за законные веб-сайты.
Для получения дополнительной информации см. заявление eMudhra.
Что сделано Cato
Мы удалили восемь скомпрометированных промежуточных сертификатов CA и три связанных корневых сертификата CA. Корневые сертификаты были удалены из-за обоснованных проблем безопасности.
Cato вселостно развернул это обновление на наших глобальных точках присутствия (PoPs). Вам не требуется вносить изменения в конфигурацию, чтобы получить обновление.
Следующие шаги
Соединения могут быть все еще доверены, если их цепочки сертификатов включают затронутый промежуточный сертификат CA и подтверждаются через другой доверенный корневой CA (AAA Certificate Services).
Мы развернем дополнительные исправления на наших точках присутствия, подтвердим их успешное внедрение и объявим об исправлениях в еженедельном обновлении продукта.
Потенциальное воздействие на соединение
Мы ожидаем ограниченное воздействие на соединение в целом и следим за ситуацией. Изменение может вызвать отклонение соединений с некоторыми веб-сайтами, включая определенные университетские сайты США, во время инспекции TLS.
Если вы столкнетесь с серьёзными проблемами соединения, пожалуйста, свяжитесь с поддержкой Cato немедленно.
Обходное решение: Создайте специализированное правило инспекции TLS, которое разрешает недоверенные сертификаты сервера, что может восстановить доступ к затронутому веб-сайту. Для получения дополнительной информации смотрите эту статью.
Однако используйте это временное решение с осторожностью, так как оно ослабляет проверку сертификатов и может позволить соединения с недоверенными серверами.
Удаленные сертификаты
В следующих таблицах приведены удаленные сертификаты и их отпечатки SHA-256.
Промежуточные сертификаты CA:
Промежуточный сертификат CA | Отпечаток SHA-256 |
|---|---|
EM DV TLS CA - G3B | 42C4ACCD12C4F59597925E1A08A7A90102608543809308D50EC427E118BA1493 |
EM DV TLS CA - G3C | 0164D7CEAE5BB909C272AF151FF44B1177AE9B47D9424B94F1D9558C30934D19 |
EM OV TLS CA - G3B | 98B896625C0C230ADEEC3EB2CF6AAD5001ECF9156A68644E82374CE5833BC25B |
EM OV TLS CA - G3C | CB6E15165AC802E9B3F993F16C25D41F4E81C21EBDE71AE1B012AC00BF9C7C3F |
EM EV TLS CA - G3B | E7568FE6E12331F4FD7DE61DA4C7559D0F8EB192A218D4741A3BA75184333838 |
EM EV TLS CA - G3C | 432EC25F0D28DE9006D97BF752F17BBB2CD41F669933FCB072D9A1148D0261F3 |
EM OV CS CA - G3B | 9E39DE2881273ACC225A149C72BA3E0F51424963669AB633EE1DC7DF5DB067B4 |
EM OV CS CA - G3C | 4B2460A466F95FD40113BCDCCA2CEB29B3B093921DE45474DA7DF48874C630B1 |
Корневые сертификаты CA:
Корневой сертификат CA | Отпечаток SHA-256 |
|---|---|
emSign Root TLS CA - G3 | 7DD78D5F4F13459A83DFF9ABBBA62EDBAF6F2D102BF257FD712F4D9F2746ED8D |
emSign ECC Root CA - G3 | 86A1ECBA089C4A8D3BBE2734C612BA341D813E043CF9E8A862CD5C57A36BBE6B |
emSign Root CS CA - G3 | F2EDAAFF3D9B701FB4D14C9F285F8C0BAD90FC3BCC1FA07D47F4718EDABA34A5 |
Для получения дополнительной информации
Пожалуйста, используйте агент Cato Ask AI в CMA для вопросов, связанных с политикой инспекции TLS.
Отведи меня в рабочее пространство CMA AI.