eMudhra отповика уште 8 CA-сертификати по пропуст при ракувањето со приватните клучеви

Сертификациското тело eMudhra отповика уште осум дополнителни посреднички CA-сертификати (Intermediate CA) откако истрагата за неодамнешниот безбедносен инцидент со сертификатите откри неправилно ракување со приватните клучеви за време на процесот на нивно генерирање.

Со новите отповикувања, вкупниот број на засегнати посреднички CA-сертификати достигна 16. Меѓу нив се и осумте претходно компромитирани сертификати, чии приватни клучеви биле толку слаби што секој можел да ги реконструира речиси моментално.

Во новиот извештај за инцидентот, објавен во вторникот, eMudhra соопшти дека двата сета сертификати биле засегнати од прилагодена Python-скрипта, која била користена во април 2025 година за пренос на приватни клучеви помеѓу хардверски безбедносни модули (HSM).

HSM се уреди дизајнирани за безбедно генерирање и складирање криптографски клучеви, со што се спречува изложување на чувствителните приватни клучеви надвор од хардверот.

Од eMudhra велат дека ја развиле скриптата за пренос на клучевите на сертификациското тело помеѓу HSM-уреди од различни производители во нивните капацитети, поради доцнење во набавката на нов хардвер.

Сепак, скриптата содржела грешка која ги намалила осумте ECDSA-приватни клучеви на само еден бајт, со што тие станале исклучително лесни за реконструирање.

Истата скрипта обработувала и осум RSA-приватни клучеви, при што чувствителните информации за клучевите биле обработувани во меморијата на компјутерот на кој се извршувала скриптата, наместо да останат заштитени во HSM-уредот.

Иако RSA-клучевите не биле ослабени на ист начин како првичните осум сертификати, од eMudhra велат дека не можеле да докажат дека со нив било постапувано во согласност со безбедносните политики за сертификати.

„Повторното внесување на клучевите од меморијата на процесот на компјутерот не е во согласност со CPS §6.2.6, поради што се смета дека RSA-објектите не ги исполнуваат овие барања“, се наведува во извештајот за инцидентот.

Поради ова, компанијата на 7 ноември ги отповика дополнителните осум RSA-посреднички CA-сертификати, вклучувајќи ги и оние што се користеле за издавање TLS-сертификати и сертификати за дигитално потпишување код.

Некои од засегнатите RSA-посреднички сертификати активно се користеле за издавање сертификати од мај 2026 година, а последниот сертификат бил издаден на 3 ноември.

Од eMudhra соопштија дека и сертификатите на засегнатите клиенти се заменети или мигрирани.

Истрагата открила и дека претходен проблем, забележан во јуни 2025 година, можел да го открие пропустот повеќе од една година пред тој да биде идентификуван од безбедносниот истражувач познат како „Wayne“.

Во тој период, eMudhra открила листи за отповикување сертификати (CRL) потпишани со приватни клучеви кои не одговарале на соодветните CA-сертификати.

Компанијата го решила проблемот со потпишување на листите за отповикување со соодветните клучеви, но не спровела истрага за причината поради која дошло до проблемот.

Новиот извештај потврдува дека ова бил ран предупредувачки знак за неисправниот процес на генерирање клучеви, кој останал неоткриен сè до октомври 2026 година.

Истрагата, исто така, утврдила дека eMudhra не ја проверувала јачината на генерираните приватни клучеви, ниту проверувала дали клучевите користени за издавање сертификати се совпаѓаат со оние што првично биле создадени во HSM-уредот.

Големите веб-прелистувачи ги блокираа компромитираните сертификати

Како што претходно објави BleepingComputer, инцидентот првпат беше обелоденет на 17 октомври, кога безбедносниот истражувач Wayne откри дека приватните клучеви на осум посреднички CA-сертификати на eMudhra можат да се реконструираат со тестирање на само 256 можни вредности.

Големите веб-прелистувачи и оперативни системи им верувале на компромитираните сертификати, што потенцијално им овозможувало на напаѓачите да фалсификуваат сертификати за легитимни веб-страници и да пресретнуваат шифрирана комуникација.

Mozilla, Google, Apple и други производители на софтвер последователно објавија безбедносни заштити за блокирање на компромитираните сертификати.

Microsoft, исто така, на 26 октомври објави вонредни ажурирања за Windows, со цел да го отстрани статусот на доверба на засегнатите синџири на сертификати на eMudhra кај системите што не можеле автоматски да ги добијат ажурирањата за доверливи сертификати.

По инцидентот, eMudhra објави дека ќе се повлече од бизнисот со јавно доверливи TLS-сертификати и дека преостанатите клиенти ќе ги префрли кај друг провајдер.

Компанијата планира да престане со издавање сертификати во рамките на преостанатата G1-хиерархија до 16 ноември.

eMudhra, исто така, на компанијата KPMG ѝ доверила спроведување независна ревизија, чии наоди се очекуваат до 4 декември. Целта е да се идентификуваат потребните подобрувања во постапките за управување со сертификатите и генерирање на клучеви.

Извори:

• Bleeping Computer – eMudhra revokes 8 more CA certificates after private key mishap Bleeping Computer