eMudhra, eine Zertifizierungsstelle, wird beschuldigt, die Frist einer Mozilla-Root-Untersuchung ignoriert und soziale Medien für die Folgen verantwortlich gemacht zu haben. Der Streit dreht sich um Bugzilla Bug 2083449, der vor fünf Tagen unter der Komponente CA Certificate Compliance eröffnet wurde und weiterhin aktiv ist.
Der Fall begann am 17. Oktober, als Mozilla über certificates@mozilla.org eine Meldung erhielt, die vom Chrome-Root-Programm weitergeleitet wurde und von einem als Wayne bezeichneten Reporter stammte. Der Bericht behauptete, dass die privaten Schlüssel von 8 Zwischenzertifikaten von eMudhra kompromittiert worden seien, und enthielt einen Nachweis der Schlüsselkontrolle für alle acht. Mozilla bestätigte, dass der Nachweis gültig war, und leitete über OneCRL die Entfernung des Vertrauens für diese Zertifikate in Firefox ein; dieser Schritt wurde um 22:59 UTC abgeschlossen. eMudhra bestätigte den Bericht später am selben Abend und erklärte, dass man Sectigo informiert habe, das einige der betroffenen Zertifikate quersigniert hatte. Mozilla stellte die privaten Schlüssel unabhängig wieder her, was zeigte, dass der Schlüsselgenerierungsprozess fehlerhaft und leicht auszunutzen war.
Sechs der betroffenen Zertifikate sind TLS-Zertifikate, die von den Root-Programmen von Chrome, Mozilla, Microsoft und Apple vertraut werden. Die übrigen zwei sind Code-Signing-Zertifikate, denen Microsoft vertraut. Am 18. Oktober markierte eMudhra alle acht Zertifikate als widerrufen mit dem Grund „CA Compromise“.
Die beigefügten Materialien, darunter Attestierungsdateien, eine CRL-Signaturdatei, eine HSM-Zuordnungstabelle und ein PDF mit Fragen, zeigen, dass die Untersuchung andauert, wobei das letzte Update erst vor 37 Minuten veröffentlicht wurde.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing