गलत प्रमाणपत्र कीवों के बाद eMudhra ने TLS व्यवसाय से हटने का फैसला किया
ars ·
भारतीय प्रमाणपत्र प्राधिकरण eMudhra ने एक गंभीर सुरक्षा घटना के बाद TLS व्यवसाय से अपनी वापसी की घोषणा की, जिसमें उसने आठ मध्यवर्ती प्रमाणपत्र ऐसे जारी किए जिनके निजी कुंजियाँ अत्यंत कमजोर थीं। इन दोषपूर्ण कुंजियों में से एक की एन्ट्रॉपी स्तर मात्र 4 बिट था, जिससे हमलावर किसी भी वेबसाइट या सेवा के लिए विश्वसनीय प्रमाणपत्रों को सहजता से उत्पन्न कर सकते थे। कंपनी ने बाजार से निकलने के मुख्य कारणों में बढ़ते अनुपालन लागत और कम राजस्व योगदान का उल्लेख किया, साथ ही भेदभाव से हुए प्रतिष्ठा नुकसान को भी शामिल किया। शोधकर्ताओं ने पाया कि Key Generation Ceremony स्क्रिप्ट में एक त्रुटि के कारण HSMs ने wrap/unwrap प्रक्रिया के दौरान कमजोर कुंजियाँ उत्पन्न कीं, जिन्हें गलती से साइन करने के अनुरोधों में उपयोग किया गया। हालांकि ब्राउज़र निर्माताओं ने जल्दी ही compromised प्रमाणपत्रों को ब्लॉक कर दिया, लेकिन इस घटना ने eMudhra की कुंजी जीवनचक्र अखंडता और मानवीय त्रुटि नियंत्रण में महत्वपूर्ण कमियों को उजागर किया। CA अब CA/Browser Forum से हटाए जाने की संभावना का सामना कर रहा है और यह सुनिश्चित करना होगा कि दोषपूर्ण Certificate Revocation Lists को शुरू में कैसे साइन किया गया था, जिन्हें बाद में ठीक किया गया। यह पदचालन उस फर्म के लिए एक महत्वपूर्ण बदलाव है, जिसने पहले SSL/TLS उत्पादों पर निर्भर रहते हुए भी अपने कुल राजस्व का केवल एक प्रतिशत उत्पन्न किया था।
ars