eMudhra加密金鑰可被猜測，退出全球SSL/TLS憑證業務
· 資安 · 印度
印度憑證機構eMudhra將退出其全球SSL/TLS憑證業務，董事會於週四作出此決定；此前五天，一名研究人員通報復原了該公司八張中繼CA憑證的私鑰。 資安研究員Scott Helme公開此事，指出該公司其中一把私鑰並非隨機的384位元數字，而單純就是數字四。eMudhra表示將為受影響客戶更換憑證。由於中繼CA金鑰是客戶憑證信賴鏈的根基，一旦遭破解，可能動搖外界對該機構所簽發任何憑證的信任。此次退出對一家憑證機構而言是極不尋常的後果，因為這個角色的全部價值正建立在金鑰的保密之上。
為什麼重要：這是憑證機構因金鑰品質問題而放棄業務線的罕見案例，將加深外界對支撐加密網路流量之憑證體系的檢視。
重點
- 通報指八張中繼CA私鑰可被復原。
- 研究人員表示其中一把金鑰只是數字四，而非隨機的384位元數值。
- 董事會於週四決定退出全球SSL/TLS業務。