Энэтхэгийн гэрчилгээ олгогч eMudhra байгууллага өөрсдийн ашигласан сул түлхүүрүүдийн асуудалд хариу тайлбар хийж, хариуцлагыг бусад талтай хуваалцах байр суурийг илэрхийлэв.
Цахим аюулгүй байдлын салбарын мэргэжилтнүүдийн мэдээлснээр, eMudhra компанийн дижитал гэрчилгээнд ашигласан хувийн түлхүүрүүд нь маш хялбархан тааварлагдахуйц байжээ. Тухайлбал, зарим түлхүүр нь ердөө “4” гэсэн тооноос бүрдэж байсан бол бусад нь хоёр, гурван оронтой тооны энгийн цуглуулга байсан нь хакерууд болон цахим луйварчдад вэбсайт, бусад нөөцийг хуурамчаар үйлдэх боломж олгосон байна.
eMudhra компанийн мэдэгдэлд дурдсанаар, 2025 оны дөрөвдүгээр сарын 30-нд болсон түлхүүр үүсгэх ёслолын үеэр FIPS 140-2 Level 3 стандартын техник хангамжийн аюулгүй байдлын модулиудыг (HSM) ашиглажээ. Гэвч түлхүүр үүсгэх явцад гарсан алдааны улмаас хүчтэй түлхүүрүүдтэй зэрэгцэн сул түлхүүрүүд үүссэн бөгөөд тэдгээр нь хөтөчийн үндсэн сангуудад нийтлэгдсэн байна.
Тус компани өөрийн TLS үйлчилгээ нь нийт орлогын ердөө нэг хувийг бүрдүүлдэг гэдгийг онцолсон ч үйлчлүүлэгчид нь гэрчилгээгээ солих зардал өндөртэй, яаралтай ажилтай тулгарч байна. eMudhra нь нэр хүндийн эрсдэл учирч болзошгүйг хүлээн зөвшөөрч, нөлөөлөлд өртсөн хэрэглэгчидтэй шууд хамтран ажиллаж, гэрчилгээг солих арга хэмжээ авч эхэлжээ.
Дэлгэрэнгүйг эх сурвалжаас харах
↓Эх сурвалжийг нээх ↓
Indian certification authority eMudhra has defended the laughably weak private keys it used to sign some digital certificates it issued, and suggested others should share the blame for the incident. In case you’re coming to this one late, news broke yesterday that private keys the company used to sign certs were beyond weak: one was literally just the number “4,” and several others were short strings of easily guessed two-or-three-digit numbers. It’s easy to deduce the value of those keys, which makes it possible to forge certs and impersonate websites or other resources. That’s gold for scammers, phishers, and other miscreants. The entire infosec industry has pointed that out, urged swift adoption of better certs, and lamented the fact that implementing replacements will be a long and thankless task. eMudhra’s statement about the incident says it generated keys during “a Key Generation Ceremony (KGC) held on April 30, 2025, using FIPS 140-2 Level 3 Hardware Security Modules (HSMs).” Such hardware is the standard kit for the job and should in theory produce nicely complex keys and store them securely. But something went wrong. “A flaw in the KGC caused a wrap/unwrap step to produce a second set of weak keys alongside the original strong keys,” the statement claims. “The weak keys were the ones published to the browser root stores. eMudhra is working to establish the root cause.” The company then gets a tad defensive. “These roots and issuing CAs have gone through independent audits for two years in a row and have been in browser trust lists since mid-2025,” the statement adds, seemingly shifting some blame to auditors and other stakeholders. The announcement then points out that eMudhra’s TLS business generates just one percent of its revenue, meaning this mess won’t impact its bottom line too much. That’s nice to know for the company’s investors but rather misses the point that whoever relies on the company now has an urgent, unwanted, and costly job to do replacing certs. “eMudhra is working directly with customers who may be affected to give them replacement certificates, so that critical services are not disrupted. The company is also working with the root programs and continues its root-cause investigation,” the statement adds. The company allows that the incident “may have some reputational risks on eMudhra which cannot be quantified.” Ya think? ®
