eMudhra, sebuah otoritas sertifikat, dituduh mengabaikan tenggat waktu investigasi root Mozilla dan menyalahkan media sosial atas dampak yang ditimbulkan. Sengketa ini berpusat pada Bugzilla Bug 2083449, yang dibuka lima hari lalu di bawah komponen CA Certificate Compliance dan masih aktif.
Kasus ini bermula pada 17 Oktober, ketika Mozilla menerima laporan melalui certificates@mozilla.org, yang diteruskan oleh program Chrome Root, dari seorang reporter bernama Wayne. Laporan tersebut menyatakan bahwa kunci privat dari 8 sertifikat intermediate eMudhra telah dikompromikan dan menyertakan bukti kontrol kunci untuk kedelapan sertifikat tersebut. Mozilla mengonfirmasi bahwa bukti itu valid dan memutuskan untuk tidak lagi memercayai sertifikat tersebut di Firefox melalui OneCRL, dan langkah itu selesai pada pukul 22.59 UTC. eMudhra mengakui laporan tersebut pada malam itu dan mengatakan telah memberi tahu Sectigo, yang telah melakukan cross-sign pada sebagian sertifikat yang terdampak. Mozilla secara independen memulihkan kunci privat, yang menunjukkan bahwa proses pembuatan kunci itu cacat dan sangat mudah dieksploitasi.
Enam sertifikat yang terdampak adalah sertifikat TLS yang dipercaya oleh program root Chrome, Mozilla, Microsoft, dan Apple. Dua sertifikat lainnya adalah sertifikat penandatanganan kode yang dipercaya oleh Microsoft. Pada 18 Oktober, eMudhra menandai kedelapan sertifikat tersebut sebagai dicabut dengan alasan "CA Compromise".
Lampiran yang disertakan, termasuk berkas atestasi, berkas tanda tangan CRL, spreadsheet pemetaan HSM, dan PDF pertanyaan, menunjukkan bahwa investigasi masih berlangsung, dengan pembaruan terbaru dipublikasikan hanya 37 menit yang lalu.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing