Три бита криптографии

Вся система криптографии интернета вчера знатно обосралась: индийский центр сертификации (которому доверяют все начиная от Firefox и заканчивая curl), выпустил 8 промежуточных сертификатов с энтропией приватного ключа от 3 до 8 бит (вместо 384).

Судя по всему, Честный Ахмед не смог зарегать свой CA честно, пришлось ему регаться как "eMudhra Enterprise PKI, Post-Quantum Cryptography". Пост-квантовая в этом контексте звучит особенно иронично.

Так что рекомендую срочно убрать из доверенных "emSign ECC Root CA - G3". У меня она на всех компах и виртуалках до сих пор в доверенных, блядь.

А если вы думаете что MITM-атака это удел провайдеров и государственных организаций, у меня есть охуительная история как из одного криптокошелька спиздили деньги т.к. он качал обнову, не проверяя сертификат сервера с которого она качается.

Edit: Проверка на уязвимость

$ curl https://dv-g3b-emudhra.we-have-a-problem.com/
Your client successfully connected to the site. That's bad!