eMudhra отозвала ещё восемь промежуточных CA из-за ошибки в скрипте с ключами
Удостоверяющий центр eMudhra отозвал ещё восемь промежуточных сертификатов CA, которые раньше считал не затронутыми компрометацией. Причина: при переносе ключей между HSM внутренний Python-скрипт не мог доказать соответствие правилам обращения с ключевым материалом.
Главное в цифрах
- Отозвано новых промежуточных CA: 8 (6 для TLS, 2 для подписи кода)
- Под угрозой сертификатов: 195, из них 29 для доменов eMudhra
- Дата церемонии генерации ключей: 30 апреля 2025 года
- Срок завершения проверки KPMG: до 4 декабря
- Срок инвентаризации ключей CA: 30 ноября
В октябре eMudhra уже отзывала восемь промежуточных CA: строка в скрипте обрезала их закрытые ключи ECDSA до одного байта. Новые восемь CA, по словам компании, технически не были слабыми, но их RSA-ключи прошли через тот же этап чтения из HSM, который раньше считался безопасным. Компания не может показать, что с ключевым материалом обращались в соответствии с её регламентом CPS §6.2.6.
Восемь отозванных CA: шесть для TLS-сертификатов и два для подписи кода. Четыре из них были введены в эксплуатацию в мае. По списку компании, под угрозой 195 сертификатов, 29 из них выданы для доменов самой eMudhra.
Как это произошло
Проблема восходит к церемонии генерации ключей 30 апреля 2025 года. Ключи создавались на HSM Utimaco, а предназначались для HSM Crypto4A на площадках компании в США и ЕС. Поскольку перенос ключей между HSM разных производителей ограничен, команда PKI написала скрипт, который упаковывает ключ для передачи и распаковывает его обратно. В тот день для переноса режим FIPS на исходном HSM был отключён как разрешённое исключение.
После этого скрипт считывал закрытые ключи из HSM в память компьютера церемонии и восстанавливал ключ из этой копии. Для восьми ECDSA-ключей, по данным отчёта, строка чтения обрезала закрытое значение до первого байта. Восстановленный ключ получал почти такую же метку, как оригинал, поэтому слабая копия могла уйти на подпись и сертификацию. Ни одна проверка церемонии не тестировала стойкость ключа и не сверяла его с исходным.
Слабые ключи продолжали давать действительные подписи, а проверки линтерами и два аудита WebTrust их не выявили. Отдельным ранним признаком стали некорректные подписи CRL в июне 2025 года, которые компания исправила, переподписав списки теми же слабыми ключами.
Что будет дальше
Восемь RSA-ключей не были укорочены, и все подписи по-прежнему проверяются по сертифицированным ключам. Но закрытые части ключей, включая закрытую экспоненту и один из простых множителей, находились в памяти Python-процесса на компьютере церемонии. Логи и файлы этого компьютера не позволяют надёжно восстановить, как обращались с материалом. Новые CA отозваны с кодом cessationOfOperation, а не compromise, который использовался в октябре.
Независимую проверку проводит KPMG, она должна завершиться до 4 декабря. Инвентаризация всех ключей CA обещана до 30 ноября. Компания не знает ни одного случая злоупотребления. Компания также прекращает выдачу публично доверенных TLS-сертификатов, а Microsoft, Apple и браузеры начнут выводить корни eMudhra из доверия в ноябре.
