누구나 어떤 웹사이트나 메일 서버에 대한 인증서를 만들 수 있을 정도로 취약한 8개의 중간 TLS 자격 증명을 발행한 인증 기관인 eMudhra는 개인 암호화 키가 4개에 불과하다고 밝혔습니다.
V. Srinivasan, 인도 기반 eMudhra Limited 회장, 인용 비용 증가와 규정 준수 요구 사항의 복잡성 증가 – 비즈니스가 수익의 1%만 창출하는 것과 결합됩니다. 그는 또한 TLS 인증서를 무료로 제공하는 조직의 출현으로 회사가 제공하는 다른 제품 및 서비스에 비해 투자 수익이 더욱 감소했다고 말했습니다.
문이 엉덩이에 부딪치게 하지 마세요
“그러나 이 사건과 관련된 소셜 미디어 증폭 수준으로 인해 우리 사업에서 SSL/TLS의 위치에 비해 과도한 조사가 이루어졌습니다.”라고 회사는 목요일 게시물에서 계속 말했습니다. “이를 고려하여 우리 이사회는 자세한 심의 끝에 글로벌 SSL/TLS에서 탈퇴하는 것이 eMudhra와 그 주주들에게 올바른 결정이라는 결론을 내렸습니다.”
이번 발표는 연구원들이 eMudhra가 개인 키가 포함된 8개의 인증서를 발행하여 결함이 있다는 사실을 밝힌 지 이틀 만에 나왔습니다. ~이었다 발견하기 사소한. 시간을 낸 사람은 누구나 밀리초 단위로 측정됨—이를 크랙한 다음 이를 사용하여 모든 주요 브라우저는 물론 수많은 이메일 서버, IoT 장치, Docker 컨테이너, 잊혀진 Linux 시스템 및 자체 루트 복사본을 제공하는 유지 관리되지 않는 CLI 도구에서 신뢰할 수 있는 TLS 인증서를 생성할 수 있습니다.
eMudhra가 발행한 인증서 유형에 사용되는 NIST P-384 타원 곡선 암호화 개인 키는 대략 384비트의 엔트로피를 포함하는 것으로 추정되는 반면, 손상된 8개 인증서의 키 크기는 3~8비트 범위였습니다. 다르게 명시되어 있지만 2가 있어야합니다.384—116자리 숫자—다양한 키 가능성, 결함이 있는 키 중 가장 강한 키의 최대 개수는 256개였습니다. 개인 키는 4, 56, 66, 115, 155, 156, 230, 237이었습니다.
