eMudhra решила уйти с глобального рынка SSL/TLS после компрометации ключей

Индийская компания eMudhra решила отказаться от глобального бизнеса SSL/TLS после инцидента с компрометацией приватных ключей сертификатов. Об этом говорится в пресс-релизе, опубликованном на официальном сайте компании.

Председатель совета директоров eMudhra Limited сообщил, что компания отозвала сертификаты затронутых удостоверяющих центров в течение 14 часов после обнаружения проблемы. По утверждению eMudhra, эти центры не выдавали сертификаты конечным пользователям, поэтому инцидент не затронул пользовательские сертификаты.

Компания также заявила, что её инфраструктура не была скомпрометирована, утечки данных не произошло, а физические и логические средства защиты продолжили работать штатно. При этом широкое обсуждение ситуации в социальных сетях, как отмечается в пресс-релизе, привлекло к инциденту значительное внимание.

Решение покинуть рынок SSL/TLS

После обсуждения совет директоров пришёл к выводу, что выход с глобального рынка SSL/TLS будет наиболее подходящим решением для компании и её акционеров. В eMudhra подчеркнули, что SSL/TLS занимает лишь часть её бизнеса, тогда как другие удостоверяющие центры часто строят на этом направлении основную деятельность.

В дальнейшем компания намерена сосредоточиться на корпоративных цифровых решениях и услугах доверия, не связанных с SSL/TLS. В пресс-релизе это направление названо частью более широкого портфеля eMudhra, в котором компания рассчитывает создавать большую ценность для клиентов.

Технические детали инцидента

Дополнительные подробности представитель eMudhra раскрыл в публичном обсуждении инцидента в баг-трекере Mozilla. Из доступного описания следует, что проблема могла возникнуть из-за сочетания человеческого фактора и ошибки в скрипте генерации ключей.

Ручные действия и отступление от формальной процедуры, предположительно, потребовались для экспорта ключей перед их переносом в дата-центры в Европе и США. Такой перенос выполнялся в рамках требований регуляторов о локализации инфраструктуры.

Участники обсуждения запросили исходный код использовавшихся скриптов и видеозапись церемонии генерации ключей. На момент публикации представитель компании не предоставил эти материалы.