تُتهم eMudhra، وهي جهة إصدار شهادات، بتجاهل الموعد النهائي لتحقيق جذر Mozilla وبإلقاء اللوم على وسائل التواصل الاجتماعي في التداعيات. يتمحور النزاع حول Bugzilla Bug 2083449، الذي فُتح قبل خمسة أيام تحت مكوّن CA Certificate Compliance ولا يزال نشطًا.
بدأت القضية في 17 أكتوبر، عندما تلقّت Mozilla تقريرًا عبر certificates@mozilla.org، أعاد توجيهه برنامج Chrome Root، من صحفي يُدعى Wayne. زعم التقرير أن المفاتيح الخاصة لـ 8 شهادات وسيطة تابعة لـ eMudhra قد تعرّضت للاختراق، وتضمّن دليلاً على السيطرة على المفاتيح للشهادات الثماني جميعها. أكدت Mozilla صحة الدليل، وتحركت لعدم الوثوق بالشهادات في Firefox عبر OneCRL، مكملةً هذه الخطوة في الساعة 22:59 بتوقيت UTC. أقرّت eMudhra بالتقرير في وقت لاحق من ذلك المساء، وقالت إنها أبلغت Sectigo، التي كانت قد وقّعت بشكل متبادل على بعض الشهادات المتأثرة. استعادت Mozilla المفاتيح الخاصة بشكل مستقل، مما أظهر أن عملية توليد المفاتيح كانت معيبة وسهلة الاستغلال بشكل بالغ.
ست من الشهادات المتأثرة هي شهادات TLS موثوقة من برامج الجذور لدى Chrome وMozilla وMicrosoft وApple. أما الشهادتان الباقيتان فهما شهادتا توقيع أكواد موثوقتان من Microsoft. وفي 18 أكتوبر، وسمت eMudhra الشهادات الثماني بأنها مُلغاة للسبب "CA Compromise".
تُظهر المواد المرفقة، بما فيها ملفات الإقرار وملف توقيع CRL وجدول تعيين HSM وملف PDF للأسئلة، أن التحقيق مستمر، وأن آخر تحديث نُشر قبل 37 دقيقة فقط.
المصدر: Hacker News · لخّصه HeadlinesBriefing