Удостоверяющий центр eMudhra, выпустивший слабые TLS-сертификаты, уйдет с рынка

Компания отмечает, что это направление все равно генерировало очень низкую выручку.

Индийская компания eMudhra объявила о прекращении работы на рынке TLS-сертификатов после обнаружения серьезной проблемы с ее сертификатами. Выяснилось, что eMudhra выпустила 8 промежуточных сертификатов с чрезвычайно слабыми приватными ключами.

В результате злоумышленники могли создавать поддельные сертификаты для любых сайтов и сервисов, подписывая их подлинным сертификатом eMudhra. Сейчас большинство браузеров и операционных систем уже заблокировали сертификаты eMudhra, но осадочек остался.

В ходе внутреннего расследования eMudhra установила, что проблемные сертификаты появились из-за ошибки при генерации криптографических ключей. Компания использовала аппаратные модули безопасности HSM: изначально система создала полноценные ключи, однако сбой привел к появлению второго набора ключей, обладавших крайне низкой стойкостью.

Из-за похожих обозначений сотрудники eMudhra использовали для выпуска сертификатов именно слабые ключи. В компании признали несовершенство процедур выпуска сертификатов и совершение сотрудниками множества ошибок.

Председатель совета директоров eMudhra Limited объяснил уход с рынка ростом расходов на соблюдение требований безопасности и низкой рентабельностью направления: оно приносит компании всего 1% выручки.