eMudhra se retire du marché des certificats TLS après l'affaire des clés compromises
ars ·
L'autorité de certification indienne eMudhra a annoncé son retrait du secteur des certificats TLS suite à un grave incident de sécurité au cours duquel elle a émis huit certificats intermédiaires dotés de clés privées critiquement faibles. L'une de ces clés défectueuses présentait un niveau d'entropie de seulement quatre bits, permettant aux attaquants de générer facilement des identifiants fiables pour n'importe quel site web ou service. La société a invoqué la hausse des coûts de conformité et la faible contribution des revenus comme raisons principales de sa sortie du marché, ainsi que les dommages réputationnels causés par la faille. Les chercheurs ont découvert qu'un défaut dans le script de la Cérémonie de Génération de Clés avait conduit les modules de sécurité matériels (HSM) à produire des clés faibles lors d'un processus d'enveloppement/développement, qui avaient été utilisées par erreur pour signer des demandes. Bien que les éditeurs de navigateurs aient rapidement bloqué les certificats compromis, l'incident a mis en lumière des lacunes significatives dans l'intégrité du cycle de vie des clés d'eMudhra et les contrôles contre les erreurs humaines. L'autorité de certification risque désormais d'être exclue du CA/Browser Forum et doit expliquer comment les listes de révocation de certificats (CRL) initialement défectueuses avaient été signées avant leur correction. Ce retrait marque un changement majeur pour l'entreprise, qui s'appuyait auparavant sur ses produits SSL/TLS bien qu'ils ne représentent qu'un pour cent de ses revenus totaux.
ars