eMudhra、SNS炎上の「不釣り合いな」批判を受けSSL/TLS証明書事業から撤退
eMudhra to Exit Global SSL/TLS Certificate Business
インドのデジタルトラスト企業eMudhraが、グローバルなSSL/TLS証明書事業から自主的に撤退すると発表した。直近の証明書インシデントでは発覚から14時間以内に対象CAを失効させ、インフラ侵害やデータ漏洩はなかったとしている。同事業は全売上の約1%にとどまり、データ主権規制の強化や無料証明書の普及で収益性が低下していた。一方、SNSでの批判の増幅が事業規模に不釣り合いな監視を招いたことも撤退の判断材料になったという。
多くの認証局にとってSSL/TLSは事業そのものだが、eMudhraにとってははるかに広いデジタルソリューション群の一部にすぎない。
HNでの議論
569- rdtsc
しかし、この件に対するSNSでの増幅の規模は、SSL/TLSが当社の事業に占める位置に釣り合わないほどの厳しい追及を招いている
厳しい追及の度合いは、彼らが使った秘密鍵のビット複雑度に反比例している。なぜそれが起きたのか——人為的ミスなのか、プロセスのミスなのか——を謝罪したり明らかにしたりしない限り、彼らにとってはかなりまずい状況に見える。
> eMudhraのグローバルなSSL/TLSインフラは、他の事業とは切り離されて運営されている。同社のグローバルなデジタル署名証明書（DSC）、eSign、およびインドを含むその他の署名サービス、エンタープライズ向けPKIソリューション（emCA、CertiNextプラットフォーム）、emSigner eSignature Suite、ならびに本人確認・認証ソリューション（SecurePass、emAS）は影響を受けておらず、通常どおり稼働を続けている
この時点で、セキュリティや信頼に関わる何かのために彼らに依存している人は、ロシアンルーレットをやっているようなものだ。
- Toutouxc
どういうわけか、これでさらに悪くなっている。というのも、妻にこの一件全体を説明するのに苦労していて、彼らがやったことと同じくらい馬鹿げた比喩や寓話が思い浮かばないんだ。誰かいい例を持ってない？
たとえば、左ハンドル車と右ハンドル車の両方を製造する工場を建てて、2年間ずっと誰にも気づかれずに前席に助手席が2つある車を作り続ける、みたいな？
- ieie3366
関連：ChromeチームがeMudhraに公開の場で突きつけた、容赦ない質問の数々
- luispa
-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----
- rahimnathwani
「影響を受けたCAから発行されたエンドエンティティ証明書は存在しない」
影響を受けたCAからは誰でも証明書を発行できることを考えると、これは奇妙な発言に思える。
- moribvndvs
> eMudhraは今回のインシデントに誠実に対処し、発覚から14時間以内に影響を受けたCAを失効させた
こういう事態に対して、14時間というのは誠実な対応時間なのだろうか？
- nayuki
> eMudhraについて / 17年以上の専門知識を有するeMudhraは、デジタルアイデンティティ、トラスト、セキュリティソリューションのグローバルプロバイダーであり、世界35か国以上にわたる銀行・金融機関（BFSI）、企業、政府の安全なデジタルトランスフォーメーションを可能にしています。その製品群はCertiNextに及びます
一番下の声明が過去形で書かれていればよかったのにと思った。eMudhraはデジタルアイデンティティのグローバルプロバイダーであり……安全なデジタルトランスフォーメーションを一時的に可能にしていた……その製品群はCertiNextに及んでいた……と。
- Arbortheus
このブログ[1]によると、研究者がAppleにeMudhraのCA証明書が侵害されたと報告してから、すでにほぼ5日が経過している。
これを書いている今も、私のiPhone 15 Proはこれらの侵害されたCAによって署名された証明書を依然として受け入れている。端末は「最新」なのに、まだTrust Store Version 2026073000で動いている。[2]で確認すると、3つの中間CAによって発行された証明書が今も信頼されている！
Google Chromeはこれらの証明書を1時間40分で失効させ、Mozillaはわずか4時間弱で失効させた。
Appleがここまで失敗していることに、私はとても驚いている。自分のスマホが今まさに中間者攻撃に対して脆弱であることにまったく気づいていない人が、おそらく膨大な数いるのだ。
なぜiPhoneはCRLリストを使わないのか？なぜAppleはChromeが2時間足らずでやったことをやるのに5日以上もかかるのか。
私のMacBookも同じような状況だが、少なくともそちらではChromeブラウザは_ちゃんと_CRLを使っている（ただし、インストールされているすべてのプログラムがそうとは限らない）。
[1] https://fenko.nz/blog/emudhra-ca-compromise/#what-happened-i...
- b3lvedere
「eMudhraのグローバルなSSL/TLSインフラは、他の事業とは切り離されて運営されている。同社のグローバルなデジタル署名証明書（DSC）、eSign、およびインドを含むその他の署名サービス、エンタープライズ向けPKIソリューション（emCA、CertiNextプラットフォーム）、emSigner eSignature Suite、ならびに本人確認・認証ソリューション（SecurePass、emAS）は影響を受けておらず、通常どおり稼働を続けている。」
つまり彼らは自分たちの証明書すら使っていなかったのか？ :)
- trimbo
> 影響を受けたCAから発行されたエンドエンティティ証明書は存在しない
「影響を受けたCAから」と付け加えるのは、これを読む非技術者をすり抜けさせる、PRのイタチごまかし表現の極みだ。
この声明を書いた人、あるいは書かせた人たちに拍手を送るよ。