eMudhra po kompromitaci klíčů končí s globálními TLS certifikáty. Tvořily jen 1 % tržeb

Indická certifikační autorita eMudhra ukončí své působení na globálním trhu SSL/TLS certifikátů poté, co se ukázalo, že soukromé klíče osmi jejích podřízených certifikačních autorit vznikly s nedostatečnou mírou náhodnosti. Globální SSL/TLS certifikáty podle eMudhra představují přibližně jedno procento jejích tržeb.

Problém se týkal klíčů používaných certifikačními autoritami k vydávání dalších certifikátů. Chrome Root Program obdržel upozornění od bezpečnostního výzkumníka v sobotu 17. října. Google následně uvedl, že bylo kompromitováno osm podřízených CA certifikátů eMudhra, jejichž soukromé klíče byly vytvořeny s nedostatečnou kryptografickou entropií.

Takový nedostatek může oslabit bezpečnost klíčů a umožnit jejich odvození či zneužití. Certifikační autority přitom tvoří základ důvěryhodnosti HTTPS spojení: prohlížeče a operační systémy podle nich ověřují, zda certifikát webu vydal důvěryhodný subjekt.

Chyba vznikla při vytváření klíčů

eMudhra ve svém vyjádření z 21. října popsala příčinu jako chybu v procesu Key Generation Ceremony, tedy při řízeném vytváření kryptografických klíčů. Operace zabalení a opětovného rozbalení klíče podle firmy vedla ke vzniku druhé sady slabých klíčů vedle původních silných klíčů.

Právě slabá sada se zřejmě dostala do úložišť kořenových certifikátů používaných prohlížeči. Firma současně tvrdí, že její infrastruktura napadena nebyla a že incident nevedl k úniku dat.

Podle předsedy představenstva V. Srinivasana firma po zjištění problému odvolala dotčené certifikační autority do 14 hodin. Odvolání znamená, že prohlížeče a další klientské systémy by již neměly nadále důvěřovat certifikátům vydaným přes dotčené CA.

Firma zvolila odchod z trhu

Představenstvo eMudhra dospělo k závěru, že dobrovolné stažení z globálního byznysu SSL/TLS certifikátů je správným krokem. Oznámení se vztahuje na globální certifikáty; dostupné podklady neupřesňují harmonogram ukončení služby ani postup pro zákazníky, kteří takové certifikáty používají.