Аннотация:
Индийская компания eMudhra, занимающаяся инфраструктурой цифровой сертификации, недавно опубликовала ответ на отчеты о расследованиях сертификатов. Представители низовой компании на самом деле считали, что анализ социальных сетей, анализ инвесторов и клиентов мешают команде проводить значимые расследования. Такой ответ сразу вызвал недовольство среди сотрудников Google. И сотрудники Google, и сотрудники Mozilla Foundation обвинили eMudhra в попытке уклониться от ответственности.
В ветке обсуждения Bugzilla заинтересованные стороны отрасли попросили eMudhra опубликовать отчет о расследовании происшествия как можно скорее. Однако eMudhra много раз откладывала публикацию отчета о расследовании. Причина заключалась в том, что социальные сети и внимание отрасли помешали компании провести значимое расследование.
Впоследствии участники проекта корневых сертификатов Google отметили, что внимание общественности было предсказуемым последствием инцидента и что внимание общественности не следует использовать в качестве причины для задержки ответа. Сотрудники Mozilla Foundation также разделяют обеспокоенность Google и требуют от eMudhra выполнения своих обязательств перед сообществом.
Публичное обсуждение действительно может оказать давление на eMudhra, но это не помешает компании продолжать изучать сценарии генерации ключей, различные записи и журналы аппаратных модулей безопасности. eMudhra напрямую связывает внешний контроль с невозможностью расследования, заставляя людей думать, что eMudhra в первую очередь беспокоится об общественном мнении, а не составляет отчет о расследовании несчастного случая, который можно просмотреть как можно скорее.
В ветке обсуждения Google и Mozilla Foundation подняли следующие вопросы по поводу этого инцидента с сертификатом: что именно пошло не так в процессе генерации ключей, почему они не продолжили его развивать, когда в 2025 году было обнаружено, что подпись CRL не соответствует сертификату, и почему существование второго набора ключей не было указано в предыдущих отчетах об инцидентах.
Для ответа на эти вопросы потребуются сценарии, оперативные записи и сроки. Бизнес CA является краеугольным камнем глобальной интернет-безопасности. Безответственный подход eMudhra вызвал большое недовольство отрасли.
Стоит отметить, что eMudhra ранее объявила о выходе из глобального бизнеса по производству сертификатов TLS/SSL. Однако в своем заявлении об отказе eMudhra подчеркнула, что бизнес по сертификации составляет менее 1% доходов компании, и этот инцидент безопасности оказал серьезное влияние на репутацию компании.
Видно, что на самом деле эту компанию Caotai волнует не вопрос интернет-безопасности, а то, сможет ли она заработать и как отказаться от машины, чтобы спасти красавца в сложившейся ситуации. Хотя eMudhra подчеркнул, что подробный отчет о расследовании будет опубликован позже, учитывая, что eMudhra решил сбежать, никто не знает, будет ли опубликованный позже отчет о расследовании достаточно подробным.
Статьи по теме:
Энтузиасты используют утекшие сертификаты eMudhra для выдачи 106 000 сертификатов для Google, которые могут пройти сертификацию открытого ключа CA
Комментарии