eMudhra zəif aralıq açarlar səbəbilə global TLS sertifikat biznesindən çıxır

eMudhra global SSL/TLS biznesindən çıxır

Hindistan mərkəzli sertifikat təşkilatı eMudhra zəif şəxsi açarlarla səkkiz aralıq sertifikat buraxdıqdan sonra global SSL/TLS biznesindən çıxacağını bildirdi. Sədr V. Srinivasan uyğunluq tələblərinin xərc və mürəkkəbliyinin artdığını, həmçinin bu biznesin şirkət gəlirinin təxminən 1 faizini təşkil etdiyini söylədi. O həmçinin pulsuz TLS sertifikat təminatçılarının digər məhsul və xidmətlərlə müqayisədə gəliri azaltdığını qeyd etdi.

Şirkət cümə axşamı paylaşımında hadisə ətrafında sosial media rezonansının SSL/TLS-in şirkət biznesindəki yerinə uyğun olmayan yoxlama gətirdiyini bildirdi. İdarə heyəti global SSL/TLS-dən çıxmağın eMudhra və onun səhmdarları üçün doğru qərar olduğu qənaətinə gəldi.

Zəif aralıq sertifikatlar

Elan tədqiqatçıların səkkiz sertifikatı aşkar etməsindən iki gün sonra verildi. Onların şəxsi açarları o qədər qüsurlu idi ki, istənilən şəxs onları millisaniyələr ərzində sındıra və əsas brauzerlər, e-poçt serverləri, IoT cihazları, Docker konteynerləri, unudulmuş Linux maşınları və öz kök sertifikat nüsxələrini daşıyan dəstəklənməyən əmr sətri alətləri tərəfindən etibarlı sayılan TLS sertifikatları yarada bilərdi.

Bu sertifikatlarda istifadə olunan NIST P-384 elliptik əyri şəxsi açarları təxminən 384 bit entropiya içərməlidir. Pozulmuş sertifikatların açar ölçüləri 3 ilə 8 bit arasında idi. Səkkiz qüsurlu şəxsi açar 4, 56, 66, 115, 155, 156, 230 və 237 idi. Ən güclüsü ən çoxu 256 mümkün açara malik idi, halbuki düzgün açarda bu rəqəm 2-nin 384-cü qüvvətidir.

Brauzer istehsalçıları aralıq sertifikatlarla verilmiş sertifikatları bir və ya iki gün ərzində blokladılar. eMudhra-nın sertifikat təşkilatı statusunun CA/Browser Forum tərəfindən geri alınması ehtimalı çox yüksək idi.

eMudhra-nın sözlərinə görə nə səhv getdi

Çərşənbə günü eMudhra bildirdi ki, sertifikatlar 30 aprel 2025-ci ildə keçirilən açar yaratma mərasimində onun ECC kökü altında, FIPS 140-2 Level 3 avadanlıq təhlükəsizlik modullarından istifadə etməklə yaradılmışdır. Mərasimdəki qüsur nəticəsində wrap və unwrap addımı orijinal güclü açarlarla yanaşı zəif açarların ikinci dəstini də yaratmışdır. Zəif açarlar brauzer kök mağazalarına dərc olunanlar idi.

Mozilla Bugzilla mövzusunda eMudhra bildirdi ki, mərasim skriptindəki qüsur ikinci, daha zəif açarlar cütü yaratmışdır. Bu daha zəif açarlar açar etiketləri oxşar olduğuna görə səhvən sertifikat imzalama sorğuları yaratmaq üçün istifadə edilmişdir. Daha zəif açarlardan hazırlanan sertifikat imzalama sorğuları həmçinin həmkar sertifikat təşkilatı Sectigo-ya çarpaz imzalama üçün göndərilmişdir. Şirkət sertifikat ləğv siyahılarının orijinal şəxsi açarlarla imzalandığını, bunun yanlış imzalar yaratdığını və sonra qüsurlu açarlarla yenidən imzalandığını bildirdi. O, bir neçə addımda insan səhvlərinə istinad etdi və gələn həftə ərzində hər bir açar mərasimini yenidən yoxlayacağını söylədi. Sertifikat ləğv siyahısı sertifikat təşkilatı tərəfindən vaxtından əvvəl ləğv edilmiş sertifikatları müəyyən edən rəqəmsal imzalanmış siyahıdır.

Təhlükə tamamilə aradan qalxmayıb

Aralıq sertifikatlar brauzerlər tərəfindən bloklandığından təhlükənin böyük hissəsi aradan qalxıb. Lakin eyni sertifikatlara söykənən digər cihazlar eyni əməliyyatı etmək üçün çox daha uzun vaxt pəncərələrinə ehtiyac duyur və daxili cihazlar onları heç vaxt bloklaya bilməyə bilər.

Əvvəlki əhatə: səkkiz eMudhra CA şəxsi açarı sındırıldı, brauzerlər təcili bloklama tətbiq etdi

Mənbələr: Ars Technica