eMudhra zieht sich nach CA-Vorfall aus dem globalen SSL/TLS-Zertifikatsgeschäft zurück
eMudhra to Exit Global SSL/TLS Certificate Business
Nachdem Browserprogramme mehrere Zertifizierungsstellen von eMudhra nicht mehr vertrauen, gibt das indische Unternehmen sein weltweites SSL/TLS-Geschäft freiwillig auf. Der Bereich macht nur rund 1 Prozent des globalen Umsatzes aus, während steigende Compliance-Anforderungen und kostenlose Konkurrenzangebote die Rendite drücken. Betroffene Kunden erhalten Ersatzzertifikate kostenlos, die G1-RSA-Roots bleiben bis zum Abschluss der Migration aktiv. Digitale Signatur, eSign und Enterprise-PKI sind nicht betroffen.
Für viele Zertifizierungsstellen ist SSL/TLS das gesamte Geschäft. Für eMudhra ist es nur ein Teil eines viel breiteren Portfolios digitaler Lösungen.
- rdtsc
> Allerdings hat das Ausmaß der Social-Media-Verstärkung rund um diesen Vorfall eine Prüfung ausgelöst, die in keinem Verhältnis zu SSL/TLS’s Platz in unserem Geschäft steht
Die Prüfung ist umgekehrt proportional zur Bit-Komplexität der von ihnen verwendeten privaten Schlüssel. Ohne ein Eingeständnis eines Fehlers oder eine Offenlegung, wie es passiert ist – ein menschlicher Fehler, ein Prozessfehler usw. –, sieht das ziemlich schlecht für sie aus.
> eMudhras globale SSL/TLS-Infrastruktur läuft getrennt von ihren anderen Geschäftsbereichen. Das globale digitale Signaturzertifikat (DSC) des Unternehmens, eSign und andere Signaturdienste, einschließlich der in Indien, seine Enterprise-PKI-Lösungen (emCA, CertiNext-Plattformen), die emSigner-eSignature-Suite sowie seine Identitäts- und Authentifizierungslösungen (SecurePass, emAS) sind nicht betroffen und laufen normal weiter
Wer sich in irgendeiner sicherheits- oder vertrauensrelevanten Angelegenheit auf sie verlässt, spielt an diesem Punkt Russisches Roulette.
- Toutouxc
Irgendwie macht das alles noch schlimmer. Ich habe zum Beispiel Schwierigkeiten, meiner Frau das Ganze zu erklären, weil mir keine Metapher oder Parabel einfällt, die auch nur annähernd so absurd ist wie das, was sie getan haben. Hat jemand eine gute?
Vielleicht so etwas wie: eine Fabrik aufbauen, die sowohl Links- als auch Rechtslenker-Autos baut, und zwei Jahre lang durchgehend Autos mit zwei Beifahrersitzen vorne produzieren, ohne dass es jemand merkt?
- ieie3366
Dazu passend: die absolut brutale Fragenbatterie, die das Chrome-Team öffentlich bei eMudhra eingereicht hat
- luispa
-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----
- rahimnathwani
„Es wurden keine End-Entity-Zertifikate aus der betroffenen CA ausgestellt.“
Diese Aussage wirkt seltsam, wenn man bedenkt, dass jeder Zertifikate aus den betroffenen CAs ausstellen kann.
- moribvndvs
> eMudhra hat den jüngsten Vorfall sorgfältig behandelt und die betroffenen CAs innerhalb von 14 Stunden nach Entdeckung widerrufen
Sind 14 Stunden eine sorgfältige Reaktionszeit für so etwas?
- nayuki
> Über eMudhra / Mit über 17 Jahren Erfahrung ist eMudhra ein globaler Anbieter von Lösungen für digitale Identität, Vertrauen und Sicherheit, der Banken und Finanzinstitute (BFSI), Unternehmen und Regierungen in mehr als 35 Ländern weltweit bei der sicheren digitalen Transformation unterstützt. Die Produktpalette umfasst CertiNext
Ich hatte gehofft, die Erklärung am Ende wäre im Präteritum geschrieben: eMudhra war ein globaler Anbieter von digitaler Identität ... hatte vorübergehend eine sichere digitale Transformation ermöglicht ... Die Produktpalette umfasste CertiNext ...
- Arbortheus
Laut diesem Blog [1] ist es inzwischen fast 5 Tage her, dass ein Forscher Apple gemeldet hat, dass die eMudhra-CA-Zertifikate kompromittiert wurden.
Während ich das schreibe, akzeptiert mein iPhone 15 Pro noch immer Zertifikate, die von diesen kompromittierten CAs signiert wurden. Das Gerät ist „auf dem neuesten Stand“, läuft aber trotzdem noch mit Trust Store Version 2026073000. Wenn ich bei [2] nachschaue, werden Zertifikate, die von 3 eMudhra-Intermediate-CAs ausgestellt wurden, noch immer vertraut!
Google Chrome hat diese Zertifikate in 1 Stunde 40 Minuten widerrufen, Mozilla in knapp unter 4 Stunden.
Ich bin so verblüfft darüber, wie sehr Apple hier versagt hat. Möglicherweise gibt es riesige Teile der Bevölkerung, die völlig ahnungslos sind, dass ihre Telefone gerade anfällig für Man-in-the-Middle-Angriffe sind.
Warum nutzt das iPhone keine CRL-Liste? Warum braucht Apple 5+ Tage für etwas, das Chrome in unter 2 Stunden erledigt hat.
Bei meinem MacBook ist es eine ähnliche Geschichte, aber dort nutzt zumindest mein Chrome-Browser _tatsächlich_ eine CRL (das kann man allerdings nicht von allen installierten Programmen behaupten).
[1] https://fenko.nz/blog/emudhra-ca-compromise/#what-happened-i...
- b3lvedere
„eMudhras globale SSL/TLS-Infrastruktur läuft getrennt von ihren anderen Geschäftsbereichen. Das globale digitale Signaturzertifikat (DSC) des Unternehmens, eSign und andere Signaturdienste, einschließlich der in Indien, seine Enterprise-PKI-Lösungen (emCA, CertiNext-Plattformen), die emSigner-eSignature-Suite sowie seine Identitäts- und Authentifizierungslösungen (SecurePass, emAS) sind nicht betroffen und laufen normal weiter.“
Also haben sie nicht einmal ihre eigenen Zertifikate verwendet? :)
- trimbo
> Es wurden keine End-Entity-Zertifikate aus der betroffenen CA ausgestellt
Das Hinzufügen von „aus der betroffenen CA“ ist erstklassige PR-Wieselsprache, die bei nicht-technischen Lesern dieses Statements durchrutschen wird.
Herzlichen Glückwunsch an diejenigen, die diese Erklärung geschrieben oder dazu gepromptet haben.