eMudhra steigt nach Zertifikatskandal aus TLS-Geschäft aus
ars ·
Die indische Zertifizierungsstelle eMudhra hat ihren Rückzug aus dem TLS-Geschäft bekannt gegeben, nachdem es zu einem schwerwiegenden Sicherheitsvorfall kam, bei dem sie acht Zwischenzertifikate mit kritisch schwachen privaten Schlüsseln ausstellte. Einer dieser defekten Schlüssel wies eine Entropie von nur vier Bit auf, was es Angreifern ermöglichte, vertrauenswürdige Zugangsdaten für beliebige Websites oder Dienste mühlos zu generieren. Das Unternehmen führte steigende Compliance-Kosten und einen geringen Umsatzbeitrag als Hauptgründe für den Marktaustritt an, zusätzlich zum reputationsbedingten Schaden durch den Sicherheitsvorfall. Forscher stellten fest, dass ein Fehler im Skript der Key Generation Ceremony dazu führte, dass Hardware Security Modules (HSMs) während eines Wrap-/Unwrap-Prozesses schwache Schlüssel erzeugten, die fälschlicherweise für Signaturanforderungen verwendet wurden. Obwohl Browserhersteller die kompromittierten Zertifikate schnell blockierten, offenbarte der Vorfall erhebliche Lücken in der Integrität des Schlüssel-Lebenszyklus und in den Kontrollen gegen menschliches Versagen bei eMudhra. Die CA steht nun vor der möglichen Entfernung aus dem CA/Browser Forum und muss klären, wie fehlerhafte Certificate Revocation Lists (CRLs) zunächst signiert wurden, bevor sie korrigiert wurden. Dieser Schritt markiert einen bedeutenden Wandel für das Unternehmen, das zuvor zwar auf SSL/TLS-Produkte setzte, diese jedoch nur ein Prozent seines Gesamtumsatzes ausmachten.
ars