eMudhra sai do negócio de TLS após incidente com chaves privadas defeituosas
ars ·
A autoridade de certificação indiana eMudhra anunciou sua retirada do mercado de TLS após um grave incidente de segurança em que emitiu oito certificados intermediários com chaves privadas criticamente fracas. Uma dessas chaves defeituosas apresentava apenas quatro bits de entropia, permitindo que atacantes gerassem facilmente credenciais confiáveis para qualquer site ou serviço. A empresa citou o aumento dos custos de conformidade e a baixa contribuição de receita como as principais razões para sair do mercado, além dos danos à reputação causados pela violação. Pesquisadores descobriram que uma falha no script da Cerimônia de Geração de Chaves fez com que os HSMs produzissem chaves fracas durante um processo de wrap/unwrap, as quais foram erroneamente utilizadas para assinar solicitações. Embora os fabricantes de navegadores tenham bloqueado rapidamente os certificados comprometidos, o incidente destacou lacunas significativas na integridade do ciclo de vida das chaves e nos controles de erro humano da eMudhra. A CA agora enfrenta a possível remoção do CA/Browser Forum e deve explicar como as Listas de Revogação de Certificados (CRL) defeituosas foram inicialmente assinadas antes de serem corrigidas. Esta saída marca uma mudança significativa para a empresa, que anteriormente dependia de produtos SSL/TLS, apesar de eles representarem apenas um por cento de sua receita total.
ars