eMudhra因证书密钥丑闻退出TLS业务
ars ·
印度证书颁发机构eMudhra宣布退出TLS业务,此前该公司发生严重安全事件,签发了8个私钥存在严重缺陷的中间证书。其中一枚有缺陷的密钥熵值仅为4位,攻击者可轻易生成针对任何网站或服务的可信凭证。该公司表示,合规成本上升和收入贡献低是退出的主要原因,同时此次泄露也造成了声誉损害。研究人员发现,密钥生成仪式脚本中的漏洞导致硬件安全模块(HSM)在加解密过程中生成了弱密钥,并被错误地用于签名请求。尽管浏览器厂商迅速阻止了受影响的证书,但该事件暴露出eMudhra在密钥生命周期完整性和人为错误控制方面的重大缺陷。目前,该CA面临被CA/浏览器论坛除名的风险,并需解释 flawed 证书吊销列表(CRL)在修正前是如何被初始签发的。这一退出标志着该公司的重大转变,尽管其SSL/TLS产品此前仅占总收入的1%。
ars