A eMudhra, uma autoridade certificadora, é acusada de ignorar o prazo de uma investigação da raiz da Mozilla e de culpar as redes sociais pelas consequências. A disputa gira em torno do Bugzilla Bug 2083449, aberto há cinco dias no componente CA Certificate Compliance e que permanece ativo.
O caso começou em 17 de outubro, quando a Mozilla recebeu uma denúncia por meio de certificates@mozilla.org, encaminhada pelo programa Chrome Root, de um repórter identificado como Wayne. A denúncia afirmava que as chaves privadas de 8 certificados intermediários da eMudhra haviam sido comprometidas e incluía uma prova de controle das chaves dos oito. A Mozilla confirmou que a prova era válida e decidiu desconfiar dos certificados no Firefox por meio do OneCRL, concluindo essa etapa às 22h59 UTC. A eMudhra reconheceu a denúncia naquela noite e disse ter notificado a Sectigo, que havia feito assinatura cruzada de alguns dos certificados afetados. A Mozilla recuperou independentemente as chaves privadas, o que mostrou que o processo de geração de chaves era falho e extremamente fácil de explorar.
Seis dos certificados afetados são certificados TLS confiáveis pelos programas raiz da Chrome, Mozilla, Microsoft e Apple. Os outros dois são certificados de assinatura de código confiáveis pela Microsoft. Em 18 de outubro, a eMudhra marcou os oito certificados como revogados com o motivo "CA Compromise".
Os materiais anexados, incluindo arquivos de atestação, um arquivo de assinatura de CRL, uma planilha de mapeamento de HSM e um PDF de perguntas, mostram que a investigação está em andamento, com a atualização mais recente publicada há apenas 37 minutos.
Fonte: Hacker News · Resumido por HeadlinesBriefing