eMudhra добровольно уйдет с глобального рынка SSL/TLS-сертификатов

После компрометации приватных ключей сертификатов, компания, похоже, решила не дожидаться возможного изгнания из рядов удостоверяющих центров и вместо этого взять дело в свои руки.

На официальном сайте опубликован пресс-релиз, в котором председатель совета директоров eMudhra Limited комментирует сложившуюся ситуацию.

Он отметил, что eMudhra оперативно приняла необходимые меры: в течение 14 часов после обнаружения отозвала сертификаты затронутых удостоверяющих центров и своевременно раскрыла информацию об инциденте. Сертификаты конечным пользователям этими удостоверяющими центрами не выдавались. Инфраструктура компании не была скомпрометирована, утечки данных не произошло. Все физические и логические средства защиты сохранили работоспособность.

Однако масштаб распространения обсуждений этого инцидента в социальных сетях привлёк к нему внимание, несоразмерное роли SSL/TLS в нашем бизнесе. В связи с этим после всестороннего обсуждения совет директоров пришёл к выводу, что выход с глобального рынка SSL/TLS — правильное решение для eMudhra и её акционеров.

Для многих удостоверяющих центров SSL/TLS — основное направление деятельности. Для eMudhra это лишь часть гораздо более широкого портфеля цифровых решений. Мы сосредоточим усилия на тех направлениях, где создаём наибольшую ценность для клиентов, уделив особое внимание ключевым корпоративным решениям и услугам доверия, не связанным с SSL/TLS.

В ныне публичном issue инцидента в баг-треккере Mozilla представитель компании уточнил некоторые технические подробности инцедента. Не поручусь за правильность моего понимания ситуации, но похоже, причиной инцидента называется комбинация человеческого фактора с ошибкой в скрипте генерации ключей. Ручные действия и отступление от формальной процедуры понадобились для того, чтобы экспортировать ключи для последующего переноса в датацентры в Европе и США в рамках выполнения требований регуляторов о локализации.

На последующие просьбы предоставить исходный код скриптов, использованных для генерации, и видеозапись церемонии ответа от представителя компании на данный момент не последовало.