eMudhra abandona el negocio de TLS tras el escándalo de las claves privadas defectuosas
ars ·
La entidad de certificación india eMudhra ha anunciado su retirada del negocio de TLS tras un grave incidente de seguridad en el que emitió ocho certificados intermedios con claves privadas críticamente débiles. Una de estas claves defectuosas tenía un nivel de entropía de apenas cuatro bits, lo que permitía a los atacantes generar trivialmente credenciales confiables para cualquier sitio web o servicio. La empresa citó como razones principales para abandonar el mercado el aumento de los costes de cumplimiento y la baja contribución de ingresos, junto con el daño reputacional provocado por la brecha. Los investigadores descubrieron que un error en el script de la Ceremonia de Generación de Claves hizo que las HSM produjeran claves débiles durante un proceso de envoltura/desenvoltura, las cuales se utilizaron incorrectamente para firmar solicitudes. Aunque los fabricantes de navegadores bloquearon rápidamente los certificados comprometidos, el incidente puso de manifiesto importantes deficiencias en la integridad del ciclo de vida de las claves de eMudhra y en los controles de error humano. La CA ahora enfrenta la posible exclusión del CA/Browser Forum y debe abordar cómo se firmaron inicialmente listas de revocación de certificados defectuosas antes de ser corregidas. Esta salida marca un cambio significativo para la firma, que anteriormente dependía de productos SSL/TLS a pesar de que estos representaban solo el uno por ciento de sus ingresos totales.
ars