Уведомление о безопасности: компрометация промежуточного сертификата eMudhra

Исполнительное резюме

Elo Touch Solutions активно отслеживает и решает криптографическую уязвимость, касающуюся всей отрасли и связанной с компанией eMudhra Technologies Limited, коммерческим удостоверяющим центром (CA). 17 октября 2026 года эксперты в области безопасности сообщили, что закрытые ключи, связанные с восемью промежуточными сертификатами CA, выданными eMudhra, были сгенерированы с критическими криптографическими дефектами (крайне слабая энтропия всего 3–8 бит), что позволяет третьим лицам немедленно вычислить закрытые ключи подписи.

Возможное воздействие на клиентов Elo ограничивается корпоративными продуктами Elo на Android и Windows. Важно понимать объем автоматической защиты:

• Устройства Android 14 GMS: Защищены с помощью экстренного обновления Google Play Services, выпущенного 19 октября 2026 года.
• Устройства Windows: Защищены с помощью обновления списка сертификатов, которым доверяют Microsoft Windows, 20 октября 2026 года, и автоматического обновления CRLSet для Microsoft Edge и WebView2.
• Android 13 и ниже, только сборки AOSP и устройства без GMS: Не защищены автоматически. Администраторы должны применить вручную план смягчения, описанный в этом уведомлении, до выхода и установки официального обновления прошивки Elo OS с патчем от Google.

Другие продукты Elo не затронуты. Корпоративная инфраструктура Elo, облачные сервисы (EloView, Elo Radar и Elo Remote) и внутренние системы не были скомпрометированы. На момент этого уведомления не поступало сообщений о активной эксплуатации против клиентов Elo.

Сводка

• Проблема: Обнаружена критическая криптографическая уязвимость, связанная с восемью промежуточными удостоверяющими центрами eMudhra, что потенциально позволяет злоумышленникам подделывать защищенные веб-сайты или фальсифицировать доверенные подписи.
• Воздействие: Воздействие ограничено корпоративными устройствами Elo на Android и Windows; все остальные продукты и решения Elo не затронуты. Эта уязвимость возникла строго внутри внешнего процесса генерации ключей eMudhra. Инфраструктура Elo, облачные платформы и внутренние системы полностью безопасны и не скомпрометированы.
• Решение для Android (Android 14 GMS): Защита была предоставлена тихо и автоматически через обновления Play Services и браузера. Флеширование прошивки или ручные действия не требуются.
• Решение для Android (Другие версии): Для Android 13 и ниже, AOSP и не-GMS Google предоставит патч-обновление, которое Elo затем интегрирует в обновление прошивки ОС. До этого момента используйте ручной план смягчения ниже.
• Решение для Windows: Полностью автоматизированные обновления списка сертификатов, которым не доверяют Microsoft, и CRLSet автоматически блокируют скомпрометированные ключи.

Подробный анализ воздействия по архитектуре на Android

1. Веб-браузеры Android (Google Chrome)

Chrome управляет собственным независимым корневым хранилищем и не полагается на хранилище доверия Android OS. Chrome выпустил тихие внутренние обновления, чтобы заблокировать скомпрометированные сертификаты через собственный список отзыва (CRLSet). Кроме того, внедрение прозрачности сертификатов (CT) не позволит оперативно отклонить любую попытку представить поддельный сертификат, так как ни один легитимный сертификат не был зарегистрирован до отзыва.

2. Родные приложения для Android, использующие WebView

Приложения, использующие API управления WebView (например, Elo WebView Controller), требуют обновлений на уровне системы:

• На устройствах Android 14 GMS: Google Play Services автоматически добавил восемь скомпрометированных хешей публичных ключей в защищенный системный черный список Android. Техническая валидация показала, что этот черный список был доступен в течение одной секунды после подключения к Интернету на устройствах с заводской настройкой.
• На других версиях Android/AOSP: Обновления на уровне системы недоступны через Play Services. Эти устройства остаются уязвимыми до применения ближайшего обновления прошивки Elo OS.

Ручной план смягчения

Необходим для Android 13 и ниже, только для AOSP и устройств без GMS, работающих в закрытых сетях.

Компенсирующий контроль на уровне сети

Для больших корпоративных парков очень рекомендуется блокировать входящие/исходящие соединения с сертификатами, подписанными скомпрометированными промежуточными ключами eMudhra на вашем надежном веб-шлюзе или корпоративном фаерволе (например, Zscaler, Palo Alto Networks, Fortinet).

Процедура отключения сертификата вручную

1. Перейдите в Настройки > Безопасность (или Безопасность и конфиденциальность > Дополнительные настройки безопасности).
2. Выберите Шифрование и учетные данные > Доверенные учетные данные.
3. На вкладке Система найдите и переключите Отключить на следующих двух корневых сертификатах (покрывает как прямые, так и кросс-подписанные варианты):
   • emSign ECC Root CA - G3 (перечислен под eMudhra Technologies Limited)
   • Службы сертификатов AAA (перечислен под Comodo CA Limited)

Примечание: Отключение этих корней обеспечивает безопасность TLS системы Android и приложений WebView. Самостоятельные браузеры, такие как Chrome, все еще будут полагаться на свои собственные автоматические внутренние обновления.

Проверка и тестирование конечных пунктов

Администраторы безопасности могут проверить локальные устройства и настройки сетевой безопасности, используя следующие независимые тестовые конечные пункты:

• Первичный тест скомпрометированной промежуточной цепочки: https://dv-g3b-emudhra.we-have-a-problem.com/
• Общий справочник инцидентов и тестовый комплект: https://emudhra.we-have-a-problem.com/

Другие продукты и услуги Elo

Интерактивные сенсорные дисплеи Elo, знаковые решения, системы точек продаж, периферийные устройства и инструменты управления бэкендом не используют и не доверяют затронутым цепочкам сертификатов eMudhra и полностью не подвержены риску. Облачные сервисы Elo (включая EloView, Elo Radar и Elo Remote) не используют сертификаты, выданные eMudhra.

Ссылки и ресурсы

• Ответ Microsoft на компрометацию ключей удостоверяющего центра eMudhra
• Блог безопасности Google: Защита пользователей Chrome и Android от скомпрометированных промежуточных сертификатов CA eMudhra

Отказ от ответственности: Временные рамки доставки обновлений могут варьироваться в зависимости от региона, модели устройства и поставщика. Некоторые обновления могут требовать, чтобы операционная система работала на последнем обслуживающем выпуске перед применением исправления. Это уведомление предоставляется на основании "как есть" исключительно в информационных целях; Elo Touch Solutions отказывается от всех гарантий, явных или подразумеваемых, включая подразумеваемые гарантии товарной пригодности и пригодности для конкретной цели. Elo оставляет за собой право обновлять это уведомление по мере появления дополнительной информации.