EMudhra stopt certificaattak na blunder met zwakke private keys

In dit artikel:

Het Indiase eMudhra stopt volledig met het uitgeven van SSL- en TLS-certificaten via dochteronderneming emSign. Het bestuur nam dat besluit nadat bekend werd dat acht intermediate certificaten waren voorzien van extreem zwakke private keys, bestaande uit slechts één tot drie cijfers. Daardoor konden de sleutels eenvoudig worden achterhaald. In zes gevallen ging het om certificaten waarmee aanvallers zich als websites konden voordoen of verkeer konden onderscheppen.

eMudhra zegt dat de betreffende certificaten niet daadwerkelijk zijn gebruikt. Ze zijn inmiddels ingetrokken; zeven exemplaren zouden nooit in productie zijn gebracht. Het enige certificaat dat wel operationeel was, zou volgens het bedrijf geen andere certificaten hebben uitgegeven, al is alleen vastgesteld dat eMudhra dat zelf niet heeft gedaan. De kwestie leidde tot verlies van klantvertrouwen en een forse daling van de beurswaarde. De SSL/TLS-activiteiten waren goed voor ongeveer één procent van de omzet. eMudhra zet zijn overige diensten voort, waaronder certificaten voor documentondertekening en oplossingen voor identiteitsbeheer.