eMudhra cierra su negocio de certificados después de que unos investigadores descifraran sus claves privadas en menos de un segundo
También cubierto por: The Hacker News, The Record
La autoridad de certificación india eMudhra anunció la suspensión definitiva en la emisión de certificados SSL/TLS, pocos días después de que se revelara que varios de sus certificados utilizaban claves privadas extremadamente débiles que podían obtenerse en fracciones de segundo. Esta decisión llegó tras una serie de eventos que incluyeron el bloqueo de dichos certificados por parte de los principales navegadores web y el inicio de una investigación por parte de las autoridades del país.
El presidente de la firma explicó que el consejo directivo determinó que abandonar este sector era la opción adecuada para la organización y sus accionistas. Entre los motivos señalados se encuentran el aumento en los costos asociados al cumplimiento normativo y la soberanía de los datos, la competencia frente a grandes competidores que ofrecen estos certificados sin costo, y el impacto mediático que generó el suceso. La compañía aclaró que este segmento representaba únicamente una fracción de su oferta digital general.
El problema salió a la luz cuando se notificó a las principales empresas tecnológicas sobre la debilidad en un grupo de certificados intermedios, cuyas claves privadas fueron calculadas con una aleatoriedad insuficiente y pudieron ser recuperadas rápidamente en un ordenador portátil. Desde la empresa se indicó que la falla se originó por un error humano durante una ceremonia de generación de claves, lo que provocó que se publicaran las claves defectuosas en lugar de las correctas, aunque aseguraron que sus sistemas no sufrieron vulneraciones y que los certificados afectados no llegaron a emitir otros documentos para usuarios finales.