Riassunto:
In seguito alla rivelazione di ottobre che le chiavi private di otto certificati CA intermedi potevano essere facilmente dedotte, l'autorità indiana di certificazione digitale eMudhra ha recentemente annunciato la revoca di altri otto certificati CA intermedi basati sull'algoritmo RSA. Questi certificati provengono dallo stesso processo di generazione delle chiavi dei certificati ECDSA, precedentemente problematici, e presentavano irregolarità nella gestione delle chiavi private.
Lo script errato influisce su entrambi i set di chiavi del certificato:
L'indagine ha rivelato che l'incidente ha avuto origine da un'operazione di generazione di chiavi avvenuta il 30 aprile 2025, quando eMudhra ha generato 16 set di certificati e chiavi intermedi per le infrastrutture in diverse regioni. Il processo utilizzava uno script Python scritto dall'azienda per gestire la migrazione tra moduli di sicurezza hardware di diversi fornitori.
Il modulo di sicurezza inizialmente ha generato la chiave correttamente, ma lo script scritto dall'azienda ha mantenuto solo il primo byte della chiave privata durante la rilettura e la creazione dell'oggetto chiave ECDSA. Di conseguenza, i valori degli otto set di chiavi private ECDSA sono tutti inferiori a 256, facilmente desumibili dalle informazioni pubbliche, e queste chiavi deboli vengono utilizzate anche per generare richieste di certificati.
Altri 8 set di chiavi RSA4096 rimangono intatti, ma anche il materiale della chiave privata entra nella memoria del processo Python host durante la reimportazione. Questa modalità operativa non è conforme ai requisiti del CA/Browser Forum relativi al trasferimento della chiave privata della CA, quindi anche questi certificati devono essere revocati ed eMudhra contrassegna questi certificati RSA non come chiavi compromesse, ma come interrotti.
Si sono verificate anomalie nel maggio 2025 ma non è stata prestata attenzione:
Dall'indagine è inoltre emerso che eMudhra ha riscontrato anomalie da maggio a giugno 2025: gli elenchi di revoche di certificati corrispondenti ad alcuni certificati intermedi ECDSA non hanno superato la verifica della firma. Dall'indagine è emerso che la causa dell'anomalia era che il certificato intermedio utilizzava una chiave debole ricreata da uno script, mentre l'elenco di revoca originale era ancora firmato con la chiave originale.
eMudhra ha risolto il problema della verifica modificando l'oggetto chiave utilizzato per la firma, ma non ha analizzato attentamente la causa specifica dell'errore. Se in quel momento venisse condotta un'indagine approfondita, sarebbe facile scoprire che la chiave del certificato di produzione online era di solo 1 carattere4.
eMudhra ha deciso di abbandonare il business dei certificati TLS:
Dopo questo incidente di sicurezza, eMudhra ha deciso di non gestire più l'attività di certificati TLS a causa della bassa percentuale di entrate derivanti da questa attività e del danno alla reputazione dell'azienda causato dall'incidente di sicurezza. Si può vedere che questa società Caotai non è preoccupata per il suo impatto su Internet globale. Sembra semplicemente che sia meglio fermare questa attività senza fare soldi e incidere sulla sua reputazione.
Attualmente, tutti i principali browser hanno smesso di fidarsi degli otto certificati ECDSA originariamente revocati da eMudhra. Tuttavia, gli strumenti della riga di comando pertinenti potrebbero non essere aggiornati o non controllare le impostazioni di revoca del certificato per impostazione predefinita. Alcuni vecchi sistemi e firmware non possono aggiornare i certificati. Questi dispositivi sono ancora influenzati dalle chiavi deboli di eMudhra e possono essere dirottati da intermediari.
Articoli correlati:
eMudhra si ritira dal business globale dei certificati SSL/TLS dopo uno scandalo scioccante
Gli appassionati utilizzano i certificati trapelati di eMudhra per emettere 106.000 certificati per Google, che possono superare la certificazione a chiave pubblica CA
Google accusa l'eMudhra indiano di ritardare la pubblicazione del rapporto sull'incidente. I suoi dipendenti affermano che l'attenzione dei social media rende difficile per l'azienda condurre indagini
Commenti