Индийская компания eMudhra Limited решила прекратить работу на мировом рынке SSL/TLS-сертификатов. Об этом сообщил председатель совета директоров компании В. Шринивасан, сославшись на высокие расходы и усложнение требований к соблюдению нормативов.
Сертификаты SSL/TLS используются для защиты соединений сайтов, почтовых серверов и других устройств. Направление приносило eMudhra лишь 1% выручки, а появление организаций, бесплатно выдающих такие сертификаты, дополнительно снизило его окупаемость по сравнению с другими продуктами и услугами компании.
Решение было объявлено через два дня после того, как исследователи обнаружили восемь промежуточных сертификатов eMudhra с крайне слабыми закрытыми ключами. Их можно было подобрать за миллисекунды, после чего злоумышленник получал возможность создавать TLS-сертификаты, которым доверяют основные браузеры.
Проблема затрагивала не только браузеры. Поддельные сертификаты могли приниматься многочисленными почтовыми серверами, устройствами интернета вещей, контейнерами Docker, давно не обслуживаемыми компьютерами под управлением Linux и инструментами командной строки, использующими собственные копии корневых сертификатов.
Для сертификатов такого типа применяются закрытые ключи на основе криптографии эллиптических кривых NIST P-384, которым соответствует примерно 384 бита энтропии. Однако у восьми ключей eMudhra размер составлял от 3 до 8 бит, а сами значения были равны 4, 56, 66, 115, 155, 156, 230 и 237 битам. Таким образом, вместо 2384 возможных вариантов, то есть числа со 116 цифрами, самый сильный из дефектных ключей имел не более 256 вариантов.
«Однако широкое распространение информации об этом инциденте в социальных сетях привлекло внимание, несоразмерное роли SSL/TLS в нашем бизнесе», — заявила компания в сообщении в четверг. В eMudhra добавили, что после детального обсуждения совет директоров признал уход с мирового рынка SSL/TLS правильным решением для компании и её акционеров; об этом сообщила eMudhra в пресс-релизе.