Инцидент с eMudhra: уязвимость в сертификатах вызывает громкий альерт в сфере кибербезопасности
Критическая проблема безопасности в системе сертификации угрожает интернету
Событие собрано из сообщений нескольких изданий, и признаков того, что одно списано с другого, не нашлось. Это утверждение о составе источников, а не о том, что произошедшее проверено.
Что произошло
В результате обнаружения уязвимости в восьми сертификатах TLS, выданных индийской компанией eMudhra, по всему миру активизировались специалисты по кибербезопасности. Ключи, которые должны были обеспечивать защиту интернет-коммуникаций, оказались настолько слабыми, что их можно было легко использовать для подделки доверенных сертификатов для любого веб-сайта. На фоне этого многие браузеры, такие как Google Chrome и Mozilla Firefox, заблокировали все восемь проблемных сертификатов, что создало дополнительное беспокойство по поводу глобальной безопасности сети.
eMudhra объявила о полномасштабной реорганизации в ответ на инцидент и даже приняла решение выйти из глобального рынка SSL/TLS-сертификатов. Это решение объясняется не только негативным общественным вниманием, но и экономическими реальностями, поскольку этот сектор составляет лишь 1% их доходов.
Что известно
· средняя близость к цитате 85%- ◐Восемь сертификатов компании eMudhra имели уязвимые приватные ключи, что потенциально позволяло злоумышленникам имитировать любые веб-сайты.The Indian Express
- ◐Девять из десяти браузеров и многие крупные ИТ-компании начали процесс блокировки уязвимых сертификатов на прошлой неделе после обнаружения проблемы.The Indian Express
- ◐Компания eMudhra быстро отозвала проблемные сертификаты после информирования о уязвимости.Hindustan Times
- ◐eMudhra решила выйти из глобального рынка SSL/TLS-сертификатов в ответ на критику и нежелание капитализировать на этом бизнесе.The Indian Express
- ◐Проблема была вызвана недостаточной случайной генерацией ключей, которые имели размер 1-8 бит вместо требуемых 384 бит.The Hindu
- ◐Существующая система доверия между браузерами и сертификационными центрами может быть подорвана из-за этой уязвимости.The Indian Express
- ◐В результате инцидента акции eMudhra упали на 40% всего за два дня после раскрытия уязвимости.Channel News Asia
- ◐Министерство электроники и информационных технологий Индии инициировало расследование инцидента после методов eMudhra по генерации ключей.Hindustan Times
Что не подтверждено
- ?Каков будет долгосрочный эффект этого инцидента на репутацию eMudhra?
- ?Каковы последствия для пользователей и веб-сайтов, использующих уязвимые сертификаты?
- ?Будут ли предприняты дополнительные шаги со стороны органов власти в ответ на этот инцидент?
Хронология
Публикации в порядке появления, у каждой — её собственные формулировки и процитированный фрагмент.
Проблема была вызвана недостаточной случайной генерацией ключей, которые имели размер 1-8 бит вместо требуемых 384 бит.
“The uncovered flaw boiled down to this: instead of using a 384-bit private key, these intermediate certificates just had a numerical key that was between 1 and 256.”перевод с en
Восемь сертификатов компании eMudhra имели уязвимые приватные ключи, что потенциально позволяло злоумышленникам имитировать любые веб-сайты.
“eMudhra ... disclosed that ‘weak’ private cryptographic keys linked to eight ‘intermediate certificates’ were compromised.”перевод с en
Существующая система доверия между браузерами и сертификационными центрами может быть подорвана из-за этой уязвимости.
“This incident raises questions about the safeguards in place at organisations entrusted with securing large parts of the Internet’s infrastructure.”перевод с en
Девять из десяти браузеров и многие крупные ИТ-компании начали процесс блокировки уязвимых сертификатов на прошлой неделе после обнаружения проблемы.
“Some of the world’s biggest Internet browser companies ... have taken action to block digital certificates associated with Bengaluru-based eMudhra.”перевод с en
Компания eMudhra быстро отозвала проблемные сертификаты после информирования о уязвимости.
“Upon becoming aware of the incident, eMudhra initiated its incident response procedures, took measures to contain the affected certificates.”перевод с en
Министерство электроники и информационных технологий Индии инициировало расследование инцидента после методов eMudhra по генерации ключей.
“The Union government has set up a special team to investigate ... eMudhra's key-making error leaves holes in web security.”перевод с en
В результате инцидента акции eMudhra упали на 40% всего за два дня после раскрытия уязвимости.
“Shares of the company fell 40 per cent in the two days after the vulnerability was disclosed.”перевод с en
eMudhra решила выйти из глобального рынка SSL/TLS-сертификатов в ответ на критику и нежелание капитализировать на этом бизнесе.
“eMudhra on Thursday ... announced that it is shutting down its global SSL/TLS certificate business amid mounting backlash.”перевод с en
Собрано и структурировано ИИ: связано: 9 публикаций · процитировано: 6 публикаций · сгруппировано: 4 домена СМИ. Ручной редактуры и модерации нет — возможны неточности.
Наверх ↑