eMudhra, একটি সার্টিফিকেট কর্তৃপক্ষ, Mozilla root তদন্তের সময়সীমা উপেক্ষা করার এবং এর পরিণতির জন্য সোশ্যাল মিডিয়াকে দায়ী করার অভিযোগে অভিযুক্ত হয়েছে। এই বিরোধের কেন্দ্রে রয়েছে Bugzilla Bug 2083449, যা পাঁচ দিন আগে CA Certificate Compliance কম্পোনেন্টের অধীনে খোলা হয়েছিল এবং এখনও সক্রিয় রয়েছে।
১৭ অক্টোবর এই ঘটনার সূচনা হয়, যখন Mozilla certificates@mozilla.org-এর মাধ্যমে একটি প্রতিবেদন পায়। প্রতিবেদনটি Chrome Root কর্মসূচি থেকে ফরওয়ার্ড করা হয় এবং এটি Wayne নামে পরিচিত এক সাংবাদিকের কাছ থেকে এসেছিল। প্রতিবেদনে দাবি করা হয়েছিল যে eMudhra-এর ৮টি intermediate certificate-এর private key আপস হয়ে গেছে, এবং এতে আটটির সবগুলোর জন্য key control-এর প্রমাণ ছিল। Mozilla প্রমাণটি বৈধ বলে নিশ্চিত করে এবং OneCRL-এর মাধ্যমে Firefox-এ এই certificate-গুলোকে অবিশ্বাস করার পদক্ষেপ নেয়, যা ২২:৫৯ UTC-তে সম্পন্ন হয়। eMudhra সেই সন্ধ্যায় পরে প্রতিবেদনটি স্বীকার করে এবং বলে যে তারা Sectigo-কে জানিয়েছে, যারা আক্রান্ত কিছু certificate-এ cross-sign করেছিল। Mozilla স্বাধীনভাবে private key পুনরুদ্ধার করে, যা দেখায় যে key generation প্রক্রিয়াটি ত্রুটিপূর্ণ এবং এর অপব্যবহার অত্যন্ত সহজ।
আক্রান্ত certificate-গুলোর মধ্যে ছয়টি TLS certificate, যেগুলো Chrome, Mozilla, Microsoft ও Apple root কর্মসূচি দ্বারা বিশ্বাসযোগ্য। বাকি দুটি code-signing certificate, যেগুলো Microsoft বিশ্বাস করে। ১৮ অক্টোবর eMudhra আটটি certificate-কে "CA Compromise" কারণে প্রত্যাহৃত (revoked) হিসেবে চিহ্নিত করে।
সংযুক্ত উপকরণ, যার মধ্যে attestation ফাইল, CRL signature ফাইল, HSM mapping স্প্রেডশিট এবং প্রশ্নাবলির PDF রয়েছে, দেখায় যে তদন্ত চলছে, এবং সর্বশেষ আপডেট মাত্র ৩৭ মিনিট আগে প্রকাশিত হয়েছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing