eMudhra, una autoridad certificadora, ha sido acusada de ignorar el plazo de una investigación de la raíz de Mozilla y de culpar a las redes sociales por las consecuencias. La disputa gira en torno a Bugzilla Bug 2083449, abierto hace cinco días bajo el componente CA Certificate Compliance, que sigue activo.
El caso comenzó el 17 de octubre, cuando Mozilla recibió un informe a través de certificates@mozilla.org, reenviado por el programa Chrome Root, de un periodista identificado como Wayne. El informe afirmaba que las claves privadas de 8 certificados intermedios de eMudhra habían sido comprometidas e incluía una prueba de control de las claves de los ocho. Mozilla confirmó que la prueba era válida y decidió desconfiar de los certificados en Firefox mediante OneCRL, completando ese paso a las 22:59 UTC. eMudhra reconoció el informe esa misma noche y dijo que había notificado a Sectigo, que había firmado de forma cruzada algunos de los certificados afectados. Mozilla recuperó de forma independiente las claves privadas, lo que demostró que el proceso de generación de claves era defectuoso y muy fácil de explotar.
Seis de los certificados afectados son certificados TLS confiables para los programas raíz de Chrome, Mozilla, Microsoft y Apple. Los otros dos son certificados de firma de código confiables para Microsoft. El 18 de octubre, eMudhra marcó los ocho certificados como revocados por el motivo «CA Compromise».
Los materiales adjuntos, entre ellos archivos de atestación, un archivo de firma de CRL, una hoja de cálculo de asignación de HSM y un PDF de preguntas, muestran que la investigación sigue en curso, con la actualización más reciente publicada hace apenas 37 minutos.
Fuente: Hacker News · Resumido por HeadlinesBriefing