Resumo:
A empresa indiana de infraestrutura de certificação digital eMudhra emitiu recentemente uma resposta à emissão de relatórios de investigação de certificados. A empresa de base realmente acreditava que a análise das mídias sociais e a análise de investidores e clientes impediam a equipe de conduzir investigações significativas. Esta resposta causou imediatamente insatisfação entre os funcionários do Google. Tanto os funcionários do Google quanto os funcionários da Fundação Mozilla acusaram eMudhra de tentar fugir da responsabilidade.
No tópico de discussão do Bugzilla, as partes interessadas da indústria solicitaram à eMudhra que divulgasse o relatório de investigação do acidente o mais rápido possível. No entanto, eMudhra atrasou muitas vezes a divulgação do relatório de investigação. A razão apresentada foi que a mídia social e a atenção da indústria impediram a empresa de conduzir uma investigação significativa.
Posteriormente, membros do Google Root Certificate Project comentaram que a atenção do público era uma consequência previsível do incidente e que a atenção do público não deveria ser usada como motivo para atrasar a resposta. Os funcionários da Mozilla Foundation também compartilham as preocupações do Google e exigem que a eMudhra cumpra suas responsabilidades para com a comunidade.
A discussão pública pode de fato pressionar a eMudhra, mas isso não impedirá a empresa de continuar a examinar scripts de geração de chaves, vários registros e logs de módulos de segurança de hardware. O eMudhra liga diretamente o escrutínio externo à incapacidade de investigar, fazendo com que seja fácil para as pessoas pensarem que o eMudhra está primeiro preocupado com o ambiente da opinião pública, em vez de produzir um relatório de investigação de acidente que possa ser revisto o mais rapidamente possível.
No tópico de discussão, o Google e a Mozilla Foundation levantaram as seguintes questões sobre este incidente de certificado: O que especificamente deu errado no processo de geração de chaves, por que eles não continuaram a persegui-lo quando foi descoberto em 2025 que a assinatura da CRL não correspondia ao certificado e por que a existência de um segundo conjunto de chaves não foi declarada em relatórios de incidentes anteriores.
Essas perguntas exigem scripts, registros operacionais e cronogramas para serem respondidas. O negócio da CA é a base da segurança global da Internet. A abordagem irresponsável do eMudhra deixou a indústria muito insatisfeita.
Vale a pena notar que a eMudhra anunciou anteriormente sua retirada do negócio global de certificados TLS/SSL. No entanto, na sua declaração de retirada, a eMudhra enfatizou que o negócio de certificados representa menos de 1% das receitas da empresa e que este incidente de segurança teve um sério impacto na reputação da empresa.
Percebe-se que o que realmente importa a esta empresa Caotai não é a questão da segurança na Internet, mas sim se ela pode ganhar dinheiro e como abandonar o carro para salvar o bonito na situação atual. Embora eMudhra tenha enfatizado que um relatório de investigação detalhado seria divulgado posteriormente, considerando que eMudhra decidiu fugir, ninguém sabe se o relatório de investigação divulgado posteriormente será suficientemente detalhado.
Artigos relacionados:
Entusiastas usam certificados vazados do eMudhra para emitir 106.000 certificados para o Google, que podem passar na certificação de chave pública da CA
Comentários