Doszło do poważnego incydentu bezpieczeństwa związanego z indyjskim dostawcą usług certyfikacji eMudhra Limited. Krytyczny błąd kryptograficzny podczas procesu generowania certyfikatów doprowadził do powstania kluczy prywatnych o niewystarczającej losowości. Pozwala to napastnikom na odtworzenie tych kluczy na podstawie publicznych certyfikatów.
Skutki tego naruszenia są bardzo poważne. Osoby trzecie mogą podpisywać nieautoryzowane certyfikaty TLS, co umożliwia przeprowadzanie ataków typu Man-in-the-Middle (MitM), przechwytywanie ruchu oraz przejmowanie sesji użytkowników. Główni dostawcy systemów operacyjnych i przeglądarek podjęli już kroki w celu unieważnienia lub wycofania zaufania do dotkniętych certyfikatów pośrednich.
Organizacje powinny niezwłocznie przeprowadzić audyt własnej infrastruktury PKI w celu wykrycia certyfikatów powiązanych z eMudhra. Zaleca się natychmiastowe unieważnienie i ponowne wystawienie certyfikatów przez zaufanych dostawców oraz wymuszenie aktualizacji magazynów zaufanych (trust stores) na wszystkich punktach końcowych i serwerach.
Dodatkowe środki obronne obejmują monitorowanie logów Certificate Transparency (CT) pod kątem nieautoryzowanych certyfikatów dla własnych domen oraz wdrożenie rekordów DNS CAA. Warto również wzmocnić procesy zarządzania cyklem życia certyfikatów (ACME/CLM), aby zminimalizować skutki ewentualnych przyszłych incydentów.
