23 октября 2026 года разработчики Tails выпустили экстренное обновление 7.15.1 из-за компрометации сертификатов удостоверяющего центра eMudhra. В систему включили Tor Browser 15.0.26 и обновили списки доверенных сертификатов, чтобы предотвратить подмену HTTPS-сайтов при использовании уязвимых ключей.
Ошибка в ключах eMudhra позволяла создавать поддельные HTTPS-сертификаты
17 октября исследователь безопасности сообщил о компрометации закрытых ключей восьми промежуточных удостоверяющих центров eMudhra. По данным команды безопасности Google, ключи были созданы с недостаточной криптографической случайностью. Из-за этого злоумышленник мог восстановить их и выпустить сертификат для чужого сайта.
Обычно браузер проверяет сертификат, чтобы убедиться, что соединение установлено с нужным сайтом. Если злоумышленник располагает ключом доверенного удостоверяющего центра и способен перехватить сетевое соединение, он потенциально может выдать поддельный сайт за настоящий. Пользователь при этом может видеть обычное HTTPS-соединение, хотя трафик проходит через атакующего.
Угроза получила отдельное отражение в бюллетене Mozilla под идентификатором CVE-2026-113470 с высокой оценкой опасности. Она связана с обработкой списков блокировки сертификатов. Сам инцидент с eMudhra затронул несколько продуктов и механизмов доверия к сертификатам.
Выходной узел Tor мог использовать поддельный сертификат для перехвата HTTPS
В сети Tor соединение с обычным сайтом проходит через несколько узлов, а затем покидает сеть через выходной узел. Между ним и HTTPS-сайтом сохраняется отдельная защита TLS. Именно поэтому браузеру нужно правильно проверять сертификаты: шифрование соединения зависит в том числе от доверия к стороне, с которой оно установлено.
Разработчики Tails пояснили, что скомпрометированный промежуточный сертификат потенциально позволял атаковать соединение с обычным HTTPS-сайтом. Для этого злоумышленнику потребовалась бы возможность вмешаться в сетевой трафик — например, контролировать выходной узел Tor или сеть его провайдера.
Onion-сайты этой конкретной атаке не подвержены. Они используют иной механизм подключения и аутентификации, без выхода через обычный Tor exit node к HTTPS-сайту. Команда Tails отдельно сообщила, что ей неизвестны случаи применения такой атаки выходными узлами Tor.
Tor Browser 15.0.26 и системное хранилище сертификатов получили блокировку eMudhra
В Tails 7.15 от 13 октября использовался Tor Browser 15.0.25. Через восемь дней проект Tor выпустил браузер 15.0.26, в котором заблокировал скомпрометированные промежуточные сертификаты eMudhra. Это изменение затем вошло в экстренный выпуск Tails 7.15.1.
Mozilla начала блокировать затронутые сертификаты ещё 17 октября через OneCRL — механизм распространения списков отзыва в Firefox. Он позволяет доставлять блокировки без полной переустановки браузера. Позднее компания выпустила исправленные версии Firefox, в которые список блокировок включён непосредственно: это защищает и пользователей, у которых удалённые обновления списка недоступны.
Tails дополнительно обновила доверенные сертификаты для других приложений системы. Некоторые программы проверяют HTTPS-соединения через набор удостоверяющих центров из пакета Debian ca-certificates, независимо от механизма Tor Browser. Поэтому исправление охватывает оба сценария: работу в браузере и обращения к защищённым адресам из других программ.
У Tor Browser 15.0.26 есть и небольшая особенность запуска: проект предупреждает, что первое построение обновлённой базы отзыва сертификатов может занять несколько минут.
Переход на Tails 7.15.1 сохраняет Persistent Storage при обновлении
Для существующих загрузочных флешек доступно автоматическое обновление с Tails 7.0 и всех более новых выпусков. Оно сохраняет Persistent Storage — зашифрованное постоянное хранилище, в котором могут находиться файлы и настройки между сеансами работы с Tails.
Если автоматическое обновление не проходит либо система перестаёт запускаться после него, проект описывает отдельную процедуру ручного обновления. Новая установка на флешку и обновление существующей системы — разные операции: при установке вместо обновления Persistent Storage на выбранном накопителе будет потеряно.
Для Tails 7.15.1 доступны USB-образ для загрузочных накопителей и ISO-образ для DVD и виртуальных машин. Эти способы распространения сохранились по сравнению с предыдущим выпуском.
Устранена конкретная проблема доверия к сертификатам
Экстренный выпуск Tails 7.15.1 сосредоточен на блокировке сертификатов eMudhra в Tor Browser и других приложениях системы. Риск был связан с возможностью выдавать поддельные HTTPS-сертификаты при наличии доступа к сетевому соединению, а не с обнаруженным взломом самой Tails.
Разработчики подтвердили потенциальную опасность для соединений через выходные узлы Tor, но не сообщили об известных случаях эксплуатации такими узлами. Масштаб возможного использования скомпрометированных ключей за пределами этого сценария из объявления Tails установить нельзя.
Источники
- The Tor Project — New Release: Tails 7.15.1
- The Tor Project — New Release: Tor Browser 15.0.26
- Mozilla Security Blog — Protecting Firefox users following the compromise of eMudhra intermediate certificates
- Mozilla — CVE-2026-113470 в бюллетене Firefox ESR
- Google Security Blog — Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates
- The Tor Project — New Release: Tails 7.15
