Индийский удостоверяющий центр eMudhra объявил о полном прекращении бизнеса по выпуску SSL/TLS-сертификатов. Поводом стало расследование, выявившее критически слабые приватные ключи в инфраструктуре компании.

Скандал разгорелся после того, как исследователи обнаружили, что один из приватных ключей eMudhra представлял собой обычное число четыре. Такой ключ фактически не обеспечивает никакой криптографической защиты и позволяет злоумышленнику выдавать себя за любой сайт, использующий сертификат этого центра.

Проблема касается не единичного случая: проверка показала системный характер нарушений при генерации ключей. Под удар попали сертификаты, которые могли использоваться для защиты соединений на множестве ресурсов.

Подобные инциденты бьют по всей модели доверия PKI, где безопасность зависит от добросовестности удостоверяющего центра. Браузеры и операционные системы поддерживают списки доверенных корневых сертификатов, и попадание в них требует строгого соответствия отраслевым требованиям.

Теперь eMudhra предстоит свернуть операции и, вероятно, отозвать выданные сертификаты. Пользователям и администраторам сайтов стоит проверить, не завязаны ли их цепочки доверия на этом центре, и заранее подготовиться к отзыву.