eMudhra, एक प्रमाणन प्राधिकरण (certificate authority) पर Mozilla root जांच की समय-सीमा की अनदेखी करने और इसके परिणामों के लिए सोशल मीडिया को दोष देने का आरोप लगाया गया है। विवाद का केंद्र Bugzilla Bug 2083449 है, जिसे पाँच दिन पहले CA Certificate Compliance घटक के तहत खोला गया था और जो अभी भी सक्रिय है।
मामला 17 अक्टूबर को शुरू हुआ, जब Mozilla को certificates@mozilla.org के माध्यम से एक रिपोर्ट मिली, जिसे Chrome Root कार्यक्रम ने आगे भेजा था और जो Wayne नामक एक पत्रकार की ओर से थी। रिपोर्ट में दावा किया गया कि eMudhra के 8 intermediate certificates की private keys से छेड़छाड़ हुई है, और इसमें सभी आठों के लिए key control का प्रमाण शामिल था। Mozilla ने पुष्टि की कि प्रमाण वैध है और OneCRL के माध्यम से Firefox में इन certificates पर भरोसा हटाने की कार्रवाई की, जो 22:59 UTC पर पूरी हुई। eMudhra ने उसी शाम रिपोर्ट की स्वीकृति दी और कहा कि उसने Sectigo को सूचित किया है, जिसने प्रभावित certificates में से कुछ पर cross-sign किया था। Mozilla ने स्वतंत्र रूप से private keys को पुनः प्राप्त किया, जिससे पता चला कि key generation प्रक्रिया त्रुटिपूर्ण थी और उसका दुरुपयोग करना बेहद आसान था।
प्रभावित certificates में से छह TLS certificates हैं, जिन पर Chrome, Mozilla, Microsoft और Apple root कार्यक्रमों का भरोसा है। शेष दो code-signing certificates हैं, जिन पर Microsoft का भरोसा है। 18 अक्टूबर को, eMudhra ने आठों certificates को "CA Compromise" कारण से निरस्त (revoked) चिह्नित कर दिया।
संलग्न सामग्री, जिसमें attestation फ़ाइलें, CRL signature फ़ाइल, HSM मैपिंग स्प्रेडशीट और प्रश्नों का PDF शामिल हैं, दर्शाती है कि जांच जारी है, और सबसे हालिया अपडेट केवल 37 मिनट पहले पोस्ट किया गया था।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित