eMudhra se povlači iz globalnog SSL/TLS poslovanja
Indijska sertifikaciona kuća eMudhra odlučila je da se povuče iz globalnog poslovanja sa SSL/TLS sertifikatima nakon što je istraživač oporavio privatne ključeve osam njenih posredničkih CA sertifikata. Šest od osam odnosilo se na TLS sertifikate, a Chrome planira da od jutra 27. oktobra po pacifičkom vremenu ukloni poverenje u korenski sertifikat emSign ECC Root CA - G3. Mozilla je 20. oktobra već odlučio da isti koren više ne smatra pouzdanim u Firefoxu.
eMudhra je saopštila da nijedan od osam spornih posredničkih sertifikata nije korišćen za izdavanje sertifikata sajtovima ili korisnicima i da njeni sistemi nisu kompromitovani. Ipak, uklanjanje poverenja u korenski sertifikat prekida i važenje legitimnih sertifikata izdatih u njegovoj hijerarhiji.
Obim prelaska i razlog za hitnu proveru
Chrome je 21. oktobra u javnim Certificate Transparency zapisima izbrojao oko 30.800 neisteklih sertifikata povezanih sa ovim korenom. Čak 99,9% njih izdato je kroz InCommon, servis koji je Internet2 uspostavio za visokoškolske ustanove i koji je između aprila i jula prebačen na platformu CertiNext kompanije eMudhra.
Google je operaterima sajtova poručio da odmah pribave i instaliraju novi TLS sertifikat iz druge PKI hijerarhije prisutne u Chrome Root Store-u. eMudhra procenjuje da treba premestiti oko 30.000 sertifikata, pri čemu je približno 97% izdato preko ACME protokola za automatizovano traženje i obnavljanje sertifikata.
Problem je nastao jer je svaki od pronađenih privatnih ključeva bio manji od 256, iako privatni ključ treba da bude veliki nasumični broj. To je omogućilo da se ključevi izračunaju gotovo trenutno. Chrome i Firefox blokirali su šest TLS posrednika u roku od nekoliko sati, dok Google navodi da se nijedan sertifikat iz tih posrednika nije pojavio u CT zapisima pre Chrome blokade.
ACME automatizacija ne rešava svaki slučaj
Standardni ACME klijenti ne menjaju sertifikate van njihovog redovnog roka obnove osim ako podržavaju ACME Renewal Information, odnosno ARI, ili ako administrator interveniše ručno. Prelazak sa ECC hijerarhije na RSA hijerarhiju može zahtevati i promene u podešavanjima klijenta.
eMudhra je navela da će korisnicima pogođenim sertifikatima obezbediti besplatne zamene preko partnera, ali nije imenovala partnere niti objavila datum potpunog izlaska iz globalnog SSL/TLS poslovanja. Korenski sertifikati G1 RSA za sada nastavljaju da služe korisnicima, mada Chrome još razmatra da li će preostale eMudhra CA sertifikate zadržati u svom skladištu poverenja.
Šta organizacije treba da urade
Vlasnici sertifikata treba da utvrde da li njihov lanac vodi do emSign ECC Root CA - G3, da provere datum isteka i način obnove, a zatim da pribave sertifikat iz druge pouzdane hijerarhije. Potrebno je testirati instalaciju i automatizovano obnavljanje pre nego što promena poverenja u pregledačima stigne do korisnika.
eMudhra će održavati servise za opoziv i proveru statusa dok svaki SSL/TLS sertifikat koji je izdala ne istekne ili ne bude zamenjen, dok digitalni potpisni sertifikati, eSign i CertiNext nastavljaju da rade. Praktični zaključak za poslovanje je da se zamena sertifikata tretira kao prioritet upravljanja kontinuitetom usluge, uz proveru svih zavisnosti od PKI lanca i ACME procesa.