Compania eMudhra a publicat o declarație referitoare la un incident în urma căruia opt certificate rădăcină ale autorității de certificare au avut chei private ușor de ghicit, având doar 1 octet de entropie în loc de 48. eMudhra susține că certificatele au fost generate în aprilie 2025, într-o ceremonie publică, folosind module de securitate hardware HSM (Hardware Security Module) care au certificat de conformitate cu standardul FIPS 140-2 Nivel 3.
În procesul de generare a cheilor a avut loc o defecțiune, din cauza căreia, în etapa de ambalare/deflare în HSM (wrap/unwrap, criptare și decriptare cu cheia de ambalare), pe lângă setul principal de chei criptografice, a fost creat un al doilea set de chei slabe cu byte-uri principale resetează, care au fost utilizate în certificate. Defecțiunea nu a fost recunoscută, deoarece cheile private sunt generate și păstrate doar în HSM și nu sunt expuse în mod deschis în afara acestuia. Cauza acestei defecțiuni este în prezent neclară și compania efectuează o anchetă asociază. Se susține că certificatele rădăcină problematice, create utilizând chei slabe, au trecut printr-un audit independent și au rămas timp de doi ani în lista de încredere din toate depozitele de certificate rădăcină.
Sursa: opennet.ro
