Инцидент с сертификатами eMudhra: реакция AdGuard

Инцидент с центром сертификации eMudhra побудил разработчиков браузеров и операционных систем заблокировать несколько его сертификатов. Поскольку AdGuard также проверяет серверные сертификаты при фильтрации HTTPS-трафика, нам пришлось отреагировать и в наших приложениях.

Мы быстро выпустили экстренные обновления. Рассказываем, что произошло, что мы изменили и что нужно сделать, чтобы защитить себя.

Что случилось с сертификатами eMudhra?

eMudhra — удостоверяющий центр, чьим сертификатам доверяли крупные браузеры и операционные системы. Центры сертификации играют важную роль в HTTPS: они помогают браузерам убедиться, что сайт действительно тот, за кого себя выдаёт.

17 октября 2026 года исследователь безопасности сообщил, что приватные ключи восьми промежуточных сертификатов eMudhra были скомпрометированы. Ключи были сгенерированы со слишком слабой случайностью, поэтому их можно было восстановить по публичным сертификатам менее чем за секунду. Тот, кто получил такие ключи, мог выпустить поддельные сертификаты и выдавать свои сайты за доверенные. На момент публикации информации об использовании этих ключей в атаках не поступало.

Разработчики браузеров отреагировали быстро: Google и Mozilla отозвали доверие к затронутым сертификатам в течение нескольких часов после отчёта, за ними последовали Apple и Microsoft. Причиной стал недостаток в процессе генерации ключей eMudhra. AdGuard к инциденту отношения не имел, но нам пришлось изменить то, как наши приложения обрабатывают HTTPS-трафик.

Когда включена HTTPS-фильтрация, AdGuard сам проверяет серверные сертификаты, чтобы анализировать зашифрованный трафик и блокировать рекламу и трекеры. Наши проверки должны быть не менее строгими, чем у браузеров, а при необходимости — ещё более консервативными.

Как отреагировал AdGuard

Мы добавили скомпрометированные сертификаты eMudhra в чёрный список и выпустили экстренные обновления для всех приложений AdGuard с поддержкой HTTPS-фильтрации.

Исправления доступны в следующих версиях:

• AdGuard для Windows: 8.0.3
• AdGuard для Android: 4.15.1
• AdGuard для Mac: 2.20.2
• AdGuard для Linux: 1.5

Мы сделали всё возможное, чтобы выпустить исправления как можно быстрее: работали допоздна, готовя обновления. Благодарим всех, кто участвовал в реагировании. Безопасность и приватность пользователей — ответственность, которую мы принимаем всерьёз, особенно когда речь идёт о проверке сертификатов.

Что это значит для вас?

На сайтах, использующих затронутые сертификаты, HTTPS-фильтрация AdGuard будет отключена. Вместо этого соединение проверит браузер и сам покажет предупреждения о проблемах с сертификатами.

Это сделано намеренно: AdGuard не должен мешать браузеру предупреждать вас о потенциально небезопасном соединении. Есть и обратная сторона — на таких сайтах может появляться реклама, поскольку AdGuard не может фильтровать их HTTPS-трафик.

Для максимальной защиты обновите AdGuard до последней доступной версии для вашей платформы. Мы также рекомендуем использовать браузеры, которые больше не доверяют затронутым сертификатам: Chrome, Edge, Opera, Brave, Vivaldi или Firefox.

Всё ещё используете AdGuard для Windows v7.x? Мы позаботились и об этом

AdGuard для Windows v8.x — наша основная ветка разработки, а версия 7.x больше таковой не является. Однако мы понимаем, что некоторые пользователи ещё пользуются версией 7 по разным причинам, и не хотим оставлять их без важного исправления безопасности.

Поэтому мы выпустили AdGuard для Windows v7.22.10 с тем же исправлением для скомпрометированных сертификатов eMudhra. Это разовое обновление, а не возвращение к активной поддержке версии 7.

Как обновиться

1. Откройте страницу релизов AdGuard для Windows на GitHub.
2. Найдите версию 7.22.10 и скачайте установщик.
3. Запустите установщик и следуйте инструкции на экране.

Если вы всё ещё используете версию 7.x, обязательно установите это обновление. Если у вас уже версия 8.x, обновитесь до 8.0.3 или более позднего релиза с этим исправлением.

Дополнительный шаг для некоторых пользователей Windows 7

Некоторым пользователям Windows 7 после обновления может понадобиться вручную установить корневой сертификат, чтобы AdGuard снова заработал.

Почему так происходит: AdGuard для Windows v7.x подписывает свои файлы сертификатом Sectigo. Windows проверяет эту цифровую подпись при запуске службы AdGuard. Однако в некоторых системах Windows 7 отсутствует корневой сертификат Sectigo Public Code Signing Root R46, необходимый для проверки подписи. Этот сертификат был выпущен в 2021 году — уже после окончания поддержки Windows 7, — поэтому он может не появиться через Центр обновления Windows.

Если сертификата нет, Windows не может проверить цифровую подпись AdGuard, и служба может не запуститься, показывая сообщение «Что-то пошло не так».

Чтобы исправить это:

1. Скачайте сертификат Sectigo Public Code Signing Root R46 с официального сайта Sectigo.

2. Перед установкой проверьте сертификат. В папке, куда вы сохранили файл, откройте командную строку и выполните:

   certutil -hashfile SectigoPublicCodeSigningRootR46.crt SHA256
   

   Результат должен быть таким:

   7e76260ae69a55d3f060b0fd18b2a8c01443c87b60791030c9fa0b0585101a38

   Пробелы и регистр букв не важны. Если хеш не совпадает, не устанавливайте сертификат и обратитесь в поддержку AdGuard.

3. Запустите скачанный файл от имени администратора и выберите Установить сертификат.

4. Выберите Локальный компьютер.

5. Выберите Поместить все сертификаты в следующее хранилище, затем — Доверенные корневые центры сертификации.

6. Нажмите Готово и перезагрузите компьютер.

Windows может показать предупреждение, что не удаётся проверить издателя сертификата. При установке корневого сертификата это ожидаемо.

Это локальное исправление: оно восстанавливает проверку цифровой подписи на конкретном компьютере, чтобы служба AdGuard могла запуститься.

Ваша безопасность важна для нас

Такие инциденты напоминают, почему важна проверка сертификатов и почему нужно действовать быстро, когда что-то идёт не так, — даже если проблема возникла вне AdGuard. Мы отреагировали, как только узнали об инциденте, и выпустили исправления для всех поддерживаемых платформ, включая отдельное обновление для тех, кто ещё пользуется AdGuard для Windows v7.x.

Если у вас есть вопросы, проблемы или обратная связь по этому обновлению, напишите нам на GitHub. Ваши сообщения помогают нам делать AdGuard лучше, а интернет — безопаснее.