Sertifikatlaşdırma orqanı eMudhra gülməli dərəcədə zəif şəxsi açarlarını müdafiə edir

Hindistan sertifikatlaşdırma orqanı eMudhra, verdiyi bəzi rəqəmsal sertifikatları imzalamaq üçün istifadə etdiyi gülməli zəif gizli açarları müdafiə etdi və başqalarının hadisəyə görə günahı bölüşməsini təklif etdi.

Əgər bu işə gec gələrsinizsə, dünən xəbər yayıldı ki, şirkətin sertifikatları imzalamaq üçün istifadə etdiyi şəxsi açarlar çox zəifdir: biri sözün həqiqi mənasında sadəcə “4” rəqəmi, bir neçəsi isə asanlıqla təxmin edilən iki və ya üç rəqəmli rəqəmlərin qısa sətirləri idi. Bu açarların dəyərini başa düşmək asandır, bu da sertifikatları saxtalaşdırmağa və veb saytları və ya digər resursları təqlid etməyə imkan verir.

Bu, fırıldaqçılar, fisherlər və digər yaramazlar üçün qızıldır. Bütün infosec sənayesi bunu qeyd etdi, daha yaxşı sertifikatların sürətlə mənimsənilməsinə çağırdı və dəyişdirmələrin həyata keçirilməsinin uzun və nankor bir iş olacağından təəssüfləndi.

eMudhra-nın hadisə ilə bağlı bəyanatında deyilir ki, o, “30 aprel 2025-ci ildə FIPS 140-2 Səviyyə 3 Avadanlıq Təhlükəsizliyi Modullarından (HSM) istifadə edərək, Açar Yaratma Mərasimi (KGC) zamanı” açarlar yaratdı.

Bu cür aparat iş üçün standart dəstdir və nəzəri cəhətdən gözəl mürəkkəb açarlar istehsal etməli və onları təhlükəsiz saxlamalıdır.

Bəyanatda deyilir: "KGC-dəki bir qüsur, orijinal güclü düymələrlə yanaşı, ikinci zəif düymələr dəstini istehsal etmək üçün sarma/açma addımına səbəb oldu". "Zəif açarlar brauzerin kök mağazalarında dərc edilən açarlar idi. eMudhra əsas səbəbi müəyyən etməyə çalışır."

"Bu köklər və verən CA-lar iki il ardıcıl olaraq müstəqil auditlərdən keçmişlər və 2025-ci ilin ortalarından bəri brauzerlərin etibar siyahılarındadırlar" deyə bəyanatda əlavə olunur, görünür, bəzi günahları auditorlara və digər maraqlı tərəflərə keçir.

Bundan sonra elan eMudhra-nın TLS biznesinin gəlirinin yalnız bir faizini yaratdığını, yəni bu qarışıqlığın onun alt xəttinə çox təsir etməyəcəyini göstərir.

Bunu şirkətin investorları üçün bilmək çox xoşdur, lakin şirkətə güvənən hər kəsin sertifikatları əvəz etmək üçün təcili, arzuolunmaz və baha başa gələn bir işi olduğu nöqtəsini əldən verir.

"eMudhra, kritik xidmətlərin pozulmaması üçün onlara əvəz sertifikatları vermək üçün təsirə məruz qala bilən müştərilərlə birbaşa işləyir. Şirkət həmçinin kök proqramlarla işləyir və kök səbəb araşdırmasını davam etdirir" deyə bəyanatda əlavə olunur.

Şirkət icazə verir ki, hadisə "eMudhra-da kəmiyyətlə müəyyən edilə bilməyən bəzi reputasiya riskləri ola bilər".