مرجع صدور گواهی eMudhra از کلیدهای خصوصی ضعیف خود دفاع می کند

مرجع صدور گواهینامه هند eMudhra از کلیدهای خصوصی ضعیفی که برای امضای برخی از گواهی‌های دیجیتالی که صادر کرده استفاده می‌کند، دفاع کرده و به دیگران پیشنهاد کرده است که مسئولیت این حادثه را به عهده بگیرند.

اگر دیر به این یکی می‌رسید، دیروز خبری منتشر شد مبنی بر اینکه کلیدهای خصوصی که شرکت برای امضای گواهی‌ها استفاده می‌کرد بسیار ضعیف بودند: یکی به معنای واقعی کلمه فقط عدد "4" بود و چندین مورد دیگر رشته‌های کوتاهی از اعداد دو یا سه رقمی بودند که به راحتی قابل حدس زدن بودند. استنباط ارزش این کلیدها آسان است، که جعل گواهینامه ها و جعل هویت وب سایت ها یا منابع دیگر را ممکن می سازد.

این طلا برای کلاهبرداران، فیشرها و سایر شرورها است. کل صنعت infosec به آن اشاره کرده است، خواستار پذیرش سریع گواهی‌های بهتر شده است و از این واقعیت که اجرای جایگزین‌ها کاری طولانی و بی‌حمایت خواهد بود ابراز تاسف کرد.

بیانیه eMudhra درباره این حادثه می‌گوید که کلیدهایی را در طی «مراسم تولید کلید (KGC) که در 30 آوریل 2025 برگزار شد، با استفاده از ماژول‌های امنیتی سخت‌افزاری سطح 3 FIPS 140-2 (HSM) تولید کرد.»

چنین سخت افزاری کیت استاندارد برای این کار است و در تئوری باید کلیدهای پیچیده ای تولید کند و آنها را ایمن ذخیره کند.

اما مشکلی پیش آمد.

در بیانیه ادعا شده است: "یک نقص در KGC باعث شد که یک مرحله wrap/unwrap برای تولید مجموعه دوم کلیدهای ضعیف در کنار کلیدهای قوی اصلی ایجاد شود." "کلیدهای ضعیف آنهایی بودند که در فروشگاه های ریشه مرورگر منتشر شدند. eMudhra در تلاش است تا علت اصلی را مشخص کند."

سپس شرکت حالت دفاعی کمی پیدا می کند.

این بیانیه می افزاید: «این ریشه ها و CA های صادرکننده برای دو سال متوالی از طریق ممیزی های مستقل گذرانده اند و از اواسط سال 2025 در لیست های اعتماد مرورگر قرار داشته اند.

سپس این اطلاعیه اشاره می‌کند که تجارت TLS eMudhra فقط یک درصد از درآمد آن را ایجاد می‌کند، به این معنی که این آشفتگی روی نتیجه آن تأثیر زیادی نخواهد داشت.

دانستن این موضوع برای سرمایه گذاران شرکت خوب است، اما این نکته را نادیده می گیرد که هرکس به شرکت متکی است اکنون یک کار فوری، ناخواسته و پرهزینه برای جایگزینی گواهی ها دارد.

بیانیه می افزاید: "eMudhra مستقیما با مشتریانی که ممکن است تحت تأثیر قرار گیرند کار می کند تا گواهی های جایگزینی به آنها بدهد، به طوری که خدمات مهم مختل نشود. این شرکت همچنین با برنامه های ریشه کار می کند و تحقیقات ریشه ای خود را ادامه می دهد."

این شرکت اجازه می دهد که این حادثه "ممکن است برخی از خطرات اعتباری برای eMudhra داشته باشد که نمی توان آنها را کمیت کرد."

آیا فکر می کنید؟ ®