Das Zertifizierungszentrum eMudhra hat weitere 8 Zwischenstammzertifikate widerrufen.

Das Unternehmen eMudhra hat weitere Details zu dem Vorfall veröffentlicht, bei dem acht Root-Zertifikaten der Zertifizierungsstelle leicht zu ermittelnde private Schlüssel mit nur 1 Byte Entropie anstelle von 48 zugeordnet waren. Neben den ursprünglich identifizierten problematischen Zwischen-Root-Zertifikaten wird auch der Widerruf von weiteren 8 Zertifikaten gemeldet, jedoch nicht aufgrund von Entropieproblemen. Die Analyse ergab, dass die Quelle der Entropieprobleme ein selbstentwickeltes Python-Skript war, das zur Übertragung privater Schlüssel zwischen Hardware-Schlüsselmanagement-Systemen (HSM) verschiedener Hersteller verwendet wurde. Der Schlüsseltransfer wurde durch Verzögerungen bei der Lieferung verbesserter HSM-Modelle verursacht, die den neuen Anforderungen an Zertifizierungsstellen entsprechen.

Aufgrund eines Fehlers wurde die Größe der ECDSA-Schlüssel auf 1 Byte reduziert. Darüber hinaus führte das Skript während des Transfers der Schlüssel zwischen den HSMs die Verarbeitung der privaten Schlüssel im ungesicherten Arbeitsspeicher des Computers durch, auf dem es ausgeführt wurde, während die Durchführung von Operationen mit privaten Schlüsseln ausschließlich innerhalb der HSM vorgeschrieben ist. Die Protokolle der HSM bestätigten, dass die Hardware-Speichersysteme korrekt arbeiteten und das Problem durch die Verwendung des selbstgebauten Skripts verursacht wurde.

Neben den ECDSA-Schlüsseln wurde das Skript auch für den Transfer von 8 RSA-4096-Schlüsseln verwendet, die keine Entropieprobleme aufwiesen, jedoch verstößt die Verarbeitung der Schlüssel im normalen Speicher gegen die Sicherheitsanforderungen, die an Zertifizierungsstellen gestellt werden, sodass auch die RSA-Zertifikate nun widerrufen wurden.

Quelle: opennet.ru