صادرکننده بی آبروی گواهینامه هندی، کسب و کار صدور گواهی را ترک می کند

پس از اینکه گزارش‌های شرم‌آور فاش کردند کلیدهای خصوصی ضعیف، که یکی از آنها فقط تک رقمی بود، مرجع صدور گواهینامه هند eMudhra تصمیم گرفت L را بگیرد و به طور کامل از بازی جهانی گواهی SSL/TLS خارج شود.

eMudhra روز پنجشنبه اعلام کرد که این بخش از تجارت خود را رها می کند. مطمئنا، بررسی‌های شدیدی که روی شرکت انجام شد یک عامل بود، اما شرکت همچنین استدلال کرد که افزایش هزینه‌های انطباق و رقابت از سوی ارائه‌دهندگان گواهی رایگان، توجیه کسب‌وکار را به طور فزاینده‌ای دشوار کرده است.

این شرکت توضیح داد: «SSL/TLS جهانی بخش کوچکی از کسب‌وکار eMudhra است که در حدود 1 درصد از درآمد جهانی مشارکت دارد.

eMudhra توضیح داد: "سطح تقویت رسانه های اجتماعی در مورد این حادثه، بررسی دقیقی را به همراه داشته است که با جایگاه SSL/TLS در تجارت ما تناسب ندارد." با توجه به این موضوع، پس از بررسی های دقیق، هیئت مدیره ما به این نتیجه رسیده است که خروج از SSL/TLS جهانی تصمیم درستی برای eMudhra و سهامداران آن است.

می توان استدلال کرد که، حتی اگر SSL/TLS تنها 1 درصد از درآمد جهانی آن را به خود اختصاص دهد، یک کلید CA خصوصی با مقدار 4 هنوز هم مستحق یک شرم عمومی کامل است.

تنها دو روز از افشای کلیدهای خصوصی ضعیف eMudhra در گزارش‌های عمومی می‌گذرد که پس از گزارشی به موزیلا در 17 اکتبر، بازیابی آنها برای محققان امنیتی کار سختی نبود: هشت مقدار کلید خصوصی تحت تأثیر قرار گرفته از عدد 4 (بله - یک عدد ساده قدیمی 4)، تا 56 و 66، 15،15، 15،11 تا بیشتر متغیر بود. 230 و 237.

برای شکستن این کلیدها نیازی به کامپیوتر کوانتومی نیست. وای - بهتر است کیوبیت ها را ذخیره کنید.

این فقط مجموعه‌ای شرم‌آور از اعداد نبود: کلیدهای ضعیف متعلق به هشت مرجع گواهی‌نامه میانی بودند که به طور بالقوه به مهاجمان اجازه می‌داد تا گواهی‌های مورد اعتماد سیستم‌هایی را جعل کنند که آنها را مسدود نکرده بودند. با این حال، eMudhra معتقد است که CAهای تحت تأثیر هیچ گواهینامه نهاد نهایی صادر نکرده بودند.

eMudhra به سرعت در مورد شکست حیرت‌آور مدیریت کلید خود به حالت تدافعی رفت و کلیدهای ضعیف را تصدیق کرد و در عین حال به ممیزی‌های مستقل و مشکلی در مراسم نسل کلید خود اشاره کرد که به گفته خودش کلیدهای ضعیف را در کنار کلیدهای قوی مورد نظر تولید کرد.

این شرکت یک روز پس از گزارش شکست کلید گفت: "یک نقص در مراسم تولید کلید باعث شد تا یک مرحله بسته بندی/باز کردن کلیدهای ضعیف در کنار کلیدهای قوی اصلی تولید شود." "کلیدهای ضعیف آنهایی بودند که در فروشگاه های ریشه مرورگر منتشر شدند."

با وجود آن، eMudhra گفت که زیرساخت گواهی مربوطه دو سال ممیزی مستقل را پشت سر گذاشته است و از اواسط سال 2025 در لیست های اعتماد مرورگر قرار داشته است، و این سوال را در مورد اینکه چرا کلیدهای ضعیف زودتر کشف نشدند، ایجاد کرد.

eMudhra روز پنجشنبه ادعا کرد که CAهای تحت تاثیر هیچ گواهینامه نهاد نهایی صادر نکرده اند، که آن CA ها را ظرف 14 ساعت پس از کشف این مشکل باطل کرده است، و نه زیرساخت و نه داده های آن در نتیجه بووهای کلیدی آن به خطر نیفتاده است.

با این حال، این حادثه دلیل دیگری را برای eMudra به ارمغان آورده است تا بخش کوچکی از کسب و کار خود را به جای ادامه نظارت بر عملیات گواهینامه خود، از بین ببرد. همچنان قرار است یک گزارش ریشه‌ای صادر کند و به تعهدات باقی‌مانده خود در قبال برنامه‌های ریشه‌ای مرورگر، با پایان یافتن کسب‌وکار، عمل کند.

این شرکت گفت تا زمانی که مشتریان را به صادرکنندگان گواهی دیگر منتقل کند، به خدمات ریشه های G1 RSA ادامه می دهد، که این کار را رایگان انجام می دهد.

این شرکت گفت: «خدمات ابطال و وضعیت گواهی تا زمانی که هر گواهی صادر شده منقضی شود یا جایگزین شود، به کار خود ادامه خواهد داد. ®