eMudhra, une autorité de certification, est accusée d'avoir ignoré l'échéance d'une enquête sur une racine Mozilla et d'avoir rejeté la responsabilité des conséquences sur les réseaux sociaux. Le litige porte sur Bugzilla Bug 2083449, ouvert il y a cinq jours sous le composant CA Certificate Compliance et toujours actif.
L'affaire a commencé le 17 octobre, lorsque Mozilla a reçu un signalement via certificates@mozilla.org, transmis par le programme Chrome Root, émanant d'un journaliste identifié comme Wayne. Le signalement affirmait que les clés privées de 8 certificats intermédiaires d'eMudhra avaient été compromises et comprenait une preuve de contrôle des clés pour les huit. Mozilla a confirmé la validité de la preuve et a décidé de ne plus faire confiance à ces certificats dans Firefox via OneCRL, une étape achevée à 22 h 59 UTC. eMudhra a reconnu le signalement plus tard dans la soirée et a déclaré avoir informé Sectigo, qui avait signé de manière croisée certains des certificats concernés. Mozilla a récupéré de manière indépendante les clés privées, démontrant que le processus de génération des clés était défaillant et très facile à exploiter.
Six des certificats touchés sont des certificats TLS approuvés par les programmes racines de Chrome, Mozilla, Microsoft et Apple. Les deux autres sont des certificats de signature de code approuvés par Microsoft. Le 18 octobre, eMudhra a marqué les huit certificats comme révoqués pour le motif « CA Compromise ».
Les pièces jointes, notamment des fichiers d'attestation, un fichier de signature de CRL, une feuille de calcul de correspondance HSM et un PDF de questions, montrent que l'enquête se poursuit, la dernière mise à jour ayant été publiée il y a seulement 37 minutes.
Source: Hacker News · Résumé par HeadlinesBriefing