Компанія eMudhra відкликала ще вісім сертифікатів після інциденту з безпекою

Компанія-центр сертифікації eMudhra анулювала вісім додаткових проміжних сертифікатів CA після завершення внутрішнього розслідування. Раніше було виявлено, що під час процесу генерації сертифікатів приватні ключі оброблялися неналежним чином. Загальна кількість анульованих сертифікатів досягла 16.

Про це повідомляє BleepingComputer

Відповідно до звіту компанії, оприлюдненого у вівторок, причиною інциденту став власний скрипт на мові Python, який у квітні 2025 року використовувався для передачі приватних ключів між апаратними модулями безпеки (HSM). Через помилку в коді вісім ключів ECDSA стали вразливими для швидкого відновлення, оскільки їхній обсяг був зведений до одного байта. Ще вісім ключів RSA оброблялися в оперативній пам’яті комп’ютера, а не в захищеному середовищі HSM.

Повторний імпорт, виконаний з пам’яті хост-процесу, не відповідає положенням розділу 6.2.6 Заяви про практику сертифікації, тому об’єкти RSA вважаються такими, що не відповідають цій вимозі.

— Звіт про інцидент eMudhra

Компанія скасувала додаткові сертифікати 7 листопада. Розслідування також показало, що eMudhra не перевіряла міцність згенерованих ключів. Помилки були приховані з червня 2025 року, коли компанія зафіксувала невідповідність підписів списків відкликання сертифікатів, проте не провела поглибленого аналізу причин.

Компанія eMudhra заявила, що вже замінила або мігрувала постраждалі клієнтські сертифікати. У межах подальших кроків організація оголосила про припинення діяльності у сфері публічно довірених TLS-сертифікатів. До 4 грудня очікуються результати незалежного аудиту, проведеного компанією KPMG, щодо процедур управління ключами. Представники eMudhra стверджують, що на цей час не виявлено доказів зловмисного використання скомпрометованих ключів.