eMudhra уходит с рынка TLS после скандала с компрометацией ключей
ars ·
Индийский центр сертификации eMudhra объявил об уходе с рынка TLS после серьезного инцидента безопасности, в ходе которого были выпущены восемь промежуточных сертификатов с критически слабыми закрытыми ключами. Один из этих дефектных ключей имел энтропию всего в четыре бита, что позволяло злоумышленникам легко создавать доверенные учетные данные для любого веб-сайта или сервиса. Компания указала на растущие затраты на соответствие требованиям и низкий вклад в выручку как основные причины выхода с рынка, а также на репутационный ущерб от утечки данных. Исследователи обнаружили, что ошибка в скрипте церемонии генерации ключей привела к тому, что аппаратные модули безопасности (HSM) во время процесса упаковки/распаковки создавали слабые ключи, которые ошибочно использовались для подписания запросов. Хотя производители браузеров быстро заблокировали скомпрометированные сертификаты, инцидент выявил значительные пробелы в целостности жизненного цикла ключей eMudhra и контролях человеческих ошибок. Теперь CA грозит исключение из CA/Browser Forum, и компании необходимо разобраться, почему изначально некорректные списки отзыва сертификатов (CRL) были подписаны до их исправления. Этот уход знаменует собой важный сдвиг для фирмы, которая ранее полагалась на продукты SSL/TLS, несмотря на то, что они составляли лишь один процент ее общей выручки.
ars