Autor: Root.cz s využitím Duck.ai

Indická společnost eMudhra opouští globální byznys s TLS certifikáty. Oznámila to po zveřejnění nedávného incidentu, při němž bylo možné z veřejných certifikátů odvodit soukromé klíče osmi jejích mezilehlých certifikátů. Podle firmy je odchod výsledkem rozhodnutí představenstva, certifikáty tvořily přibližně jedno procento jejích globálních tržeb.

Problém se týkal klíčů vytvořených při obřadu generování v dubnu 2025. Kvůli chybné proceduře vznikla druhá, slabá sada klíčů a pracovníci při přípravě certifikátů vybrali nesprávné klíče. Místo dostatečně náhodných hodnot šlo o čísla nižší než 256, která lze vyzkoušet v nejvýše 256 pokusech. Šest dotčených mezilehlých certifikátů sloužilo pro TLS, další dva pro podepisování kódu.

Držitel kompromitovaného klíče mohl podepisovat certifikáty pro libovolné domény. Ty mohly působit důvěryhodně u systémů, které daným certifikačním autoritám důvěřovaly a dosud nedostaly aktualizaci. Prohlížeče a některé další platformy dotčené certifikáty zablokovaly, ale řada aplikací, serverů či zařízení spoléhá na vlastní seznamy důvěryhodných certifikátů.

Zástupci společnosti uvádějí, že z dotčených autorit nebyly vydány koncové certifikáty zákazníkům a že její infrastruktura nebyla kompromitována. Firma certifikáty odvolala a nyní plánuje přechod zákazníků na jiné certifikáty zdarma prostřednictvím partnerů. Kořenové certifikáty G1 mají během přechodného období dál sloužit zákazníkům, služby zůstanou v provozu, dokud všechny vydané certifikáty nevyprší nebo nebudou nahrazeny.

eMudhra je indická technologická společnost zaměřená především na digitální důvěru a kybernetickou bezpečnost. Firmám dodává řešení pro digitální podpisy a podepisování dokumentů, správu digitálních identit a přístupů, vícefaktorové ověřování a infrastrukturu PKI. Globální TLS certifikáty, s jejichž vydáváním nyní končí, představovaly jen malou část jejího podnikání.

(Upozornil Ondřej Caletka.)