Otto CA dichiarate sicure mettono a rischio siti e software firmati
eMudhra ha revocato altre otto CA intermedie, in precedenza dichiarate non coinvolte, dopo aver scoperto che lo script usato per trasferire le chiavi tra HSM le aveva lette fuori dai moduli. Sei CA emettevano certificati TLS e due certificati per la firma del codice: la revoca allarga l’incidente oltre le CA inizialmente considerate compromesse.
Durante il trasferimento, lo script ha copiato le chiavi private nella memoria del computer usato per la cerimonia e le ha ricostruite da quella copia. eMudhra afferma che le chiavi non sono state indebolite, ma non può dimostrare che siano rimaste entro i controlli di gestione richiesti. Il rapporto dell’azienda elenca 195 certificati emessi da queste CA, 29 dei quali per domini eMudhra.
La revoca incide sulla validazione dei certificati già emessi, non soltanto sul trasferimento delle chiavi. Siti e software che si affidano a queste catene possono incontrare errori di fiducia, compresi quelli sui domini eMudhra.
eMudhra revokes 8 more CA certificates after private key mishap
Certificate authority eMudhra has revoked eight additional intermediate CA certificates after an investigation into its recent certificate security incident found improper handling of private keys during the certificate-generation process.