Хакер обошла OTP-логин eMudhra, зашифровав коды собственным публичным ключом компании
eMudhra Login Bypass
Исследовательница под ником ira grachevskaya показала полный обход однофакторной OTP-аутентификации eMudhra. Компания шифрует одноразовые коды публичным ключом, а сам ключ лежит на клиенте за Cloudflare Turnstile — достаточно один раз пройти проверку, взять ключ и «подписывать» запросы самостоятельно. Перебор идёт настолько быстро, что видео не ускорено. По её словам, так можно угнать любой существующий сертификат eMudhra, зная связанный email.
Жаль было бы, если бы можно было просто взять этот ключ и самому «подписывать» (шифровать) OTP-запросы :^)