Riassunto:
La società indiana di infrastrutture di certificazione digitale eMudhra ha recentemente rilasciato una risposta alla questione dei rapporti di indagine sui certificati. L’azienda di base credeva effettivamente che la revisione dei social media e l’analisi degli investitori e dei clienti impedissero al team di condurre indagini significative. Questa risposta ha immediatamente causato insoddisfazione tra i dipendenti di Google. Sia i dipendenti di Google che quelli della Mozilla Foundation hanno accusato eMudhra di cercare di sottrarsi alle responsabilità.
Nel thread di discussione su Bugzilla, le parti interessate del settore hanno chiesto a eMudhra di pubblicare il rapporto sull'indagine sull'incidente il prima possibile. Tuttavia, eMudhra ha ritardato più volte la pubblicazione del rapporto di indagine. Il motivo addotto era che i social media e l’attenzione del settore hanno impedito alla società di condurre un’indagine significativa.
Successivamente, i membri del progetto Google Root Certificate hanno commentato che l'attenzione del pubblico era una conseguenza prevedibile dell'incidente e che l'attenzione del pubblico non dovrebbe essere utilizzata come motivo per ritardare la risposta. Anche i dipendenti della Mozilla Foundation condividono le preoccupazioni di Google e chiedono a eMudhra di adempiere alle proprie responsabilità nei confronti della comunità.
La discussione pubblica potrebbe effettivamente esercitare pressione su eMudhra, ma ciò non impedirà alla società di continuare a esaminare gli script di generazione delle chiavi, vari record e i registri dei moduli di sicurezza hardware. eMudhra collega direttamente il controllo esterno con l’incapacità di indagare, rendendo facile per le persone pensare che eMudhra si preoccupi innanzitutto dell’ambiente dell’opinione pubblica piuttosto che produrre un rapporto di indagine sull’incidente che possa essere rivisto il prima possibile.
Nel thread di discussione, Google e la Mozilla Foundation hanno sollevato le seguenti domande sull'incidente del certificato: cosa è andato storto nello specifico nel processo di generazione delle chiavi, perché non hanno continuato a perseguirlo quando si è scoperto nel 2025 che la firma CRL non corrispondeva al certificato e perché l'esistenza di un secondo set di chiavi non era stata dichiarata nei precedenti rapporti sull'incidente.
A queste domande è necessario rispondere con script, registrazioni operative e tempistiche. Il business CA è la pietra angolare della sicurezza Internet globale. L’approccio irresponsabile di eMudhra ha reso il settore molto insoddisfatto.
Vale la pena notare che eMudhra ha precedentemente annunciato il suo ritiro dal business globale dei certificati TLS/SSL. Tuttavia, nella sua dichiarazione di ritiro, eMudhra ha sottolineato che il business dei certificati rappresenta meno dell'1% delle entrate dell'azienda e che questo incidente di sicurezza ha avuto un grave impatto sulla reputazione dell'azienda.
Si può vedere che ciò che interessa veramente a questa azienda Caotai non è la questione della sicurezza su Internet, ma se può fare soldi e come abbandonare l'auto per salvare il bello nella situazione attuale. Sebbene eMudhra abbia sottolineato che un rapporto d'indagine dettagliato sarà rilasciato in seguito, considerando che eMudhra ha deciso di scappare, nessuno sa se il rapporto d'indagine rilasciato in seguito sarà sufficientemente dettagliato.
Articoli correlati:
Gli appassionati utilizzano i certificati trapelati di eMudhra per emettere 106.000 certificati per Google, che possono superare la certificazione a chiave pubblica CA
Commenti