eMudhra abbandona il mercato dei certificati TLS dopo la vicenda delle chiavi compromesse
ars ·
L'autorità di certificazione indiana eMudhra ha annunciato il suo ritiro dal settore TLS a seguito di una grave incidente di sicurezza in cui sono state emesse otto certificati intermedi con chiavi private criticamente deboli. Una di queste chiavi difettose presentava un livello di entropia di soli quattro bit, consentendo agli attaccanti di generare facilmente credenziali attendibili per qualsiasi sito web o servizio. L'azienda ha indicato i crescenti costi di conformità e il basso contributo ai ricavi come motivi principali dell'uscita dal mercato, insieme al danno reputazionale derivante dalla violazione. I ricercatori hanno scoperto che un errore nello script della Cerimonia di Generazione delle Chiavi aveva portato gli HSM a produrre chiavi deboli durante un processo di wrap/unwrap, che erano state erroneamente utilizzate per le richieste di firma. Sebbene i produttori di browser abbiano rapidamente bloccato i certificati compromessi, l'incidente ha evidenziato significative lacune nell'integrità del ciclo di vita delle chiavi di eMudhra e nei controlli sugli errori umani. La CA ora rischia la rimozione dal CA/Browser Forum e deve affrontare la questione di come le Liste di Revoca dei Certificati (CRL) difettose siano state inizialmente firmate prima della loro correzione. Questo ritiro segna un cambiamento significativo per l'azienda, che in precedenza faceva affidamento sui prodotti SSL/TLS pur generando solo l'uno percento dei suoi ricavi totali.
ars