eMudhra уходит из глобального бизнеса SSL/TLS-сертификатов после скандала с отзывом CA
eMudhra to Exit Global SSL/TLS Certificate Business
eMudhra Limited объявила о добровольном выходе из глобального бизнеса SSL/TLS-сертификатов. Поводом стал недавний инцидент: компания отозвала затронутые удостоверяющие центры в течение 14 часов, конечные сертификаты не выдавались, инфраструктура не была скомпрометирована. Председатель V. Srinivasan пояснил, что это направление приносит лишь около 1% глобальной выручки, а растущие требования к суверенитету данных и бесплатные SSL/TLS от крупных игроков снижают рентабельность. Остальные сервисы — DSC, eSign, PKI-решения и идентификация — не затронуты.
Для многих удостоверяющих центров SSL/TLS — это весь бизнес. Для eMudhra это лишь часть гораздо более широкого портфеля цифровых решений.
- rdtsc
> Однако уровень раздувания этой истории в соцсетях привёл к такому пристальному вниманию, которое несоразмерно месту SSL/TLS в нашем бизнесе
Пристальное внимание обратно пропорционально битовой сложности использованных ими приватных ключей. Без признания ошибки и без раскрытия того, как это произошло: человеческая ошибка, ошибка в процессе и т.д. — это выглядит для них довольно скверно.
> Глобальная инфраструктура SSL/TLS eMudhra работает отдельно от остальных её операций. Глобальный сертификат цифровой подписи (DSC) компании, eSign и другие сервисы подписи, включая те, что в Индии, её корпоративные решения PKI (платформы emCA, CertiNext), пакет электронной подписи emSigner и её решения для идентификации и аутентификации (SecurePass, emAS) не затронуты и продолжают работать в обычном режиме
Любой, кто полагается на них в чём-либо, связанном с безопасностью или доверием, на данный момент играет в русскую рулетку.
- Toutouxc
Почему-то от этого становится ещё хуже. Вроде того, я никак не могу объяснить всю эту историю жене, потому что не могу придумать метафору или притчу, которая была бы хоть отдалённо настолько же абсурдной, как то, что они сделали. У кого-нибудь есть хорошая?
Может, вроде того, как построить завод, который выпускает и леворульные, и праворульные машины, и два года подряд выпускать машины с двумя пассажирскими сиденьями спереди, и чтобы никто этого не заметил?
- ieie3366
По теме: та самая абсолютно беспощадная батарея вопросов, которую команда Chrome публично направила eMudhra
- luispa
-----BEGIN RSA PRIVATE KEY-----
4
-----END RSA PRIVATE KEY-----
- rahimnathwani
«Из затронутых CA не было выпущено ни одного сертификата конечного объекта».
Это заявление кажется странным, учитывая, что любой может выпускать сертификаты из затронутых CA.
- moribvndvs
> eMudhra добросовестно разобралась с недавним инцидентом, отозвав затронутые CA в течение 14 часов после обнаружения
14 часов — это добросовестное время реакции для чего-то подобного?
- nayuki
> О eMudhra / Обладая более чем 17-летним опытом, eMudhra является глобальным поставщиком решений для цифровой идентификации, доверия и безопасности, обеспечивающим безопасную цифровую трансформацию для банков и финансовых учреждений (BFSI), предприятий и правительств более чем в 35 странах мира. Её линейка продуктов охватывает CertiNext
Я надеялся, что заявление внизу будет написано в прошедшем времени: eMudhra была глобальным поставщиком цифровой идентификации ... временно обеспечивала безопасную цифровую трансформацию ... Её линейка продуктов охватывала CertiNext...
- Arbortheus
Согласно этому блогу [1], прошло уже почти 5 дней с тех пор, как исследователь сообщил Apple о том, что сертификаты CA eMudhra скомпрометированы.
Пока я пишу это, мой iPhone 15 Pro по-прежнему принимает сертификаты, подписанные этими скомпрометированными CA. Устройство «обновлено», но всё ещё работает с Trust Store Version 2026073000. Когда я проверяю на [2], сертификаты, выпущенные 3 промежуточными CA eMudhra, всё ещё считаются доверенными!
Google Chrome отозвал эти сертификаты за 1 час 40 минут, Mozilla — чуть меньше чем за 4 часа.
Я просто поражён тем, насколько Apple здесь провалилась. Потенциально огромные массы людей совершенно не подозревают, что их телефоны прямо сейчас уязвимы для атаки «человек посередине».
Почему iPhone не использует список CRL? Почему Apple требуется 5+ дней, чтобы сделать то, что Chrome сделал меньше чем за 2 часа.
Похожая история с моим MacBook, но там хотя бы мой браузер Chrome _действительно_ использует CRL (впрочем, того же нельзя сказать обо всех установленных программах).
[1] https://fenko.nz/blog/emudhra-ca-compromise/#what-happened-i...
- b3lvedere
«Глобальная инфраструктура SSL/TLS eMudhra работает отдельно от остальных её операций. Глобальный сертификат цифровой подписи (DSC) компании, eSign и другие сервисы подписи, включая те, что в Индии, её корпоративные решения PKI (платформы emCA, CertiNext), пакет электронной подписи emSigner и её решения для идентификации и аутентификации (SecurePass, emAS) не затронуты и продолжают работать в обычном режиме».
Так они даже не использовали свои собственные сертификаты? :)
- trimbo
> Из затронутых CA не было выпущено ни одного сертификата конечного объекта
Добавление «из затронутых CA» — это первоклассная формулировка-уловка от PR, которая проскочит мимо нетехнических людей, читающих это.
Поздравления тем, кто написал или подсказал это заявление.