eMudhra abandona el negocio global de certificados SSL/TLS tras un incidente de confianza
eMudhra to Exit Global SSL/TLS Certificate Business
eMudhra Limited anunció que su consejo decidió retirarse voluntariamente del negocio global de certificados SSL/TLS. La empresa revocó las CA afectadas en 14 horas, sin compromiso de infraestructura ni fuga de datos, pero la amplificación en redes sociales superó el peso real de esta línea, que aporta cerca del 1% de los ingresos globales. Los clientes afectados recibirán certificados de reemplazo sin costo, y sus negocios principales de firma digital, PKI empresarial e identidad siguen operando con normalidad.
Para muchas autoridades de certificación, SSL/TLS es todo el negocio. Para eMudhra es solo una parte de un portafolio de soluciones digitales mucho más amplio.
- rdtsc
> Sin embargo, el nivel de amplificación en redes sociales en torno a este incidente ha traído un escrutinio desproporcionado respecto al lugar que ocupa SSL/TLS en nuestro negocio
El escrutinio es inversamente proporcional a la complejidad en bits de las claves privadas que usaron. Sin un fallo al pedir disculpas o exponer cómo ocurrió: un error humano, un error de proceso, etc., esto les deja bastante mal.
> La infraestructura global SSL/TLS de eMudhra funciona por separado de sus otras operaciones. El certificado de firma digital (DSC) global de la compañía, eSign y otros servicios de firma, incluidos los de India, sus soluciones PKI empresariales (plataformas emCA, CertiNext), la suite de firma electrónica emSigner y sus soluciones de identidad y autenticación (SecurePass, emAS) no se ven afectados y siguen operando con normalidad.
Cualquiera que confíe en ellos para algo relacionado con seguridad o confianza está jugando a la ruleta rusa a estas alturas.
- Toutouxc
De alguna manera esto lo empeora aún más. O sea, estoy teniendo problemas para explicarle todo el asunto a mi mujer, porque no se me ocurre una metáfora o parábola que sea remotamente tan ridícula como lo que han hecho. ¿Alguien tiene una buena?
¿Quizás algo como montar una fábrica que construye coches con volante a la izquierda y a la derecha y fabricar coches con dos asientos de pasajero delante durante dos años seguidos sin que nadie se dé cuenta?
- ieie3366
Relacionado: la batería de preguntas absolutamente brutal que el equipo de Chrome envió públicamente a eMudhra
- luispa
-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----
- rahimnathwani
"No se emitieron certificados de entidad final desde las CA afectadas."
Esta afirmación parece extraña dado que cualquiera puede emitir certificados desde las CA afectadas.
- moribvndvs
> eMudhra manejó el incidente reciente con diligencia, revocando las CA afectadas en las 14 horas posteriores al descubrimiento
¿Es 14 horas un tiempo de respuesta diligente para algo como esto?
- nayuki
> Acerca de eMudhra / Con más de 17 años de experiencia, eMudhra es un proveedor global de soluciones de identidad digital, confianza y seguridad, que permite la transformación digital segura para bancos e instituciones financieras (BFSI), empresas y gobiernos en más de 35 países de todo el mundo. Su suite de productos abarca CertiNext
Esperaba que la declaración al final estuviera escrita en pasado: eMudhra era un proveedor global de identidad digital... había permitido temporalmente la transformación digital segura... Su suite de productos abarcaba CertiNext...
- Arbortheus
Según este blog [1], ya han pasado casi 5 días desde que un investigador informó a Apple de que los certificados de la CA de eMudhra estaban comprometidos.
Mientras escribo esto, mi iPhone 15 Pro sigue aceptando certificados firmados por estas CA comprometidas. El dispositivo está "actualizado", pero sigue ejecutando la versión 2026073000 del almacén de confianza. Cuando lo compruebo en [2], ¡los certificados emitidos por 3 CA intermedias de eMudhra siguen siendo de confianza!
Google Chrome revocó estos certificados en 1 hora y 40 minutos, Mozilla en poco menos de 4 horas.
Estoy asombrado de lo mucho que ha fallado Apple aquí. Hay potencialmente grandes cantidades de personas completamente ajenas a que sus teléfonos son susceptibles ahora mismo a ataques de intermediario.
¿Por qué el iPhone no utiliza una lista CRL? ¿Por qué Apple tarda más de 5 días en hacer lo que Chrome hizo en menos de 2 horas?
Es una historia similar para mi MacBook, pero al menos ahí mi navegador Chrome _sí_ usa una CRL (aunque no se puede decir lo mismo de todos los programas instalados).
[1] https://fenko.nz/blog/emudhra-ca-compromise/#what-happened-i...
- b3lvedere
"La infraestructura global SSL/TLS de eMudhra funciona por separado de sus otras operaciones. El certificado de firma digital (DSC) global de la compañía, eSign y otros servicios de firma, incluidos los de India, sus soluciones PKI empresariales (plataformas emCA, CertiNext), la suite de firma electrónica emSigner y sus soluciones de identidad y autenticación (SecurePass, emAS) no se ven afectados y siguen operando con normalidad."
¿Así que ni siquiera usaron sus propios certificados? :)
- trimbo
> No se emitieron certificados de entidad final desde las CA afectadas
Añadir "desde las CA afectadas" es una redacción de relaciones públicas de primer nivel que se les escapará a las personas no técnicas que lean esto.
Felicidades a quienes escribieron o sugirieron esta declaración.