Удостоверяющий центр eMudhra обвиняют в игнорировании срока расследования по корневому сертификату Mozilla и в попытках возложить вину за последствия на социальные сети. Спор связан с Bugzilla Bug 2083449, открытым пять дней назад в компоненте CA Certificate Compliance, который остаётся активным.
Дело началось 17 октября, когда Mozilla получила сообщение через certificates@mozilla.org, переданное программой Chrome Root от журналиста по имени Уэйн (Wayne). В сообщении утверждалось, что закрытые ключи 8 промежуточных сертификатов eMudhra были скомпрометированы, и приводилось доказательство контроля над ключами для всех восьми. Mozilla подтвердила, что доказательство действительно, и через OneCRL приняла решение перестать доверять этим сертификатам в Firefox, завершив этот шаг в 22:59 UTC. eMudhra признала сообщение позднее в тот же вечер и заявила, что уведомила Sectigo, которая перекрёстно подписывала некоторые из затронутых сертификатов. Mozilla самостоятельно восстановила закрытые ключи, что показало, что процесс генерации ключей был ошибочным и легко поддавался эксплуатации.
Шесть из затронутых сертификатов являются TLS-сертификатами, которым доверяют корневые программы Chrome, Mozilla, Microsoft и Apple. Остальные два — сертификаты подписи кода, которым доверяет Microsoft. 18 октября eMudhra пометила все восемь сертификатов как отозванные с причиной «CA Compromise».
Прилагаемые материалы, включая файлы аттестации, файл подписи CRL, таблицу сопоставления HSM и PDF с вопросами, показывают, что расследование продолжается, а последнее обновление было опубликовано всего 37 минут назад.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing