Zusammenfassung:
Das indische Unternehmen für digitale Zertifizierungsinfrastruktur eMudhra hat kürzlich eine Antwort auf die Ausgabe von Zertifikatsuntersuchungsberichten herausgegeben. Das Basisunternehmen glaubte tatsächlich, dass die Überprüfung der sozialen Medien sowie die Investoren- und Kundenanalyse das Team daran hinderten, sinnvolle Untersuchungen durchzuführen. Diese Reaktion löste sofort Unzufriedenheit bei den Google-Mitarbeitern aus. Sowohl Google-Mitarbeiter als auch Mitarbeiter der Mozilla Foundation warfen eMudhra vor, sich der Verantwortung entziehen zu wollen.
Im Bugzilla-Diskussionsthread forderten Interessenvertreter der Branche eMudhra auf, den Unfalluntersuchungsbericht so schnell wie möglich zu veröffentlichen. Allerdings verzögerte eMudhra die Veröffentlichung des Untersuchungsberichts mehrfach. Als Grund wurde angegeben, dass soziale Medien und die Aufmerksamkeit der Branche das Unternehmen daran hinderten, eine sinnvolle Untersuchung durchzuführen.
Anschließend bemerkten Mitglieder des Google Root Certificate Project, dass die öffentliche Aufmerksamkeit eine vorhersehbare Folge des Vorfalls sei und dass die öffentliche Aufmerksamkeit nicht als Grund für eine Verzögerung der Reaktion herangezogen werden dürfe. Auch die Mitarbeiter der Mozilla Foundation teilen die Bedenken von Google und fordern, dass eMudhra seiner Verantwortung gegenüber der Community nachkommt.
Die öffentliche Diskussion könnte tatsächlich Druck auf eMudhra ausüben, aber das wird das Unternehmen nicht davon abhalten, weiterhin Schlüsselgenerierungsskripte, verschiedene Aufzeichnungen und Protokolle von Hardware-Sicherheitsmodulen zu untersuchen. eMudhra verknüpft die externe Kontrolle direkt mit der Unfähigkeit, Nachforschungen anzustellen, was den Menschen leicht den Eindruck vermittelt, dass eMudhra sich in erster Linie um die öffentliche Meinung kümmert, anstatt einen Unfalluntersuchungsbericht zu erstellen, der so schnell wie möglich überprüft werden kann.
Im Diskussionsthread stellten Google und die Mozilla Foundation die folgenden Fragen zu diesem Zertifikatsvorfall: Was genau ist beim Schlüsselgenerierungsprozess schief gelaufen, warum haben sie ihn nicht weiter verfolgt, als im Jahr 2025 festgestellt wurde, dass die CRL-Signatur nicht mit dem Zertifikat übereinstimmte, und warum die Existenz eines zweiten Schlüsselsatzes in früheren Vorfallberichten nicht erwähnt wurde.
Zur Beantwortung dieser Fragen sind Skripte, Betriebsaufzeichnungen und Zeitpläne erforderlich. Das CA-Geschäft ist der Grundstein der globalen Internetsicherheit. Der verantwortungslose Ansatz von eMudhra hat die Branche sehr unzufrieden gemacht.
Es ist erwähnenswert, dass eMudhra bereits zuvor seinen Rückzug aus dem globalen TLS/SSL-Zertifikatsgeschäft angekündigt hat. Allerdings betonte eMudhra in seiner Rückzugserklärung, dass das Zertifikatsgeschäft weniger als 1 % des Umsatzes des Unternehmens ausmacht und dieser Sicherheitsvorfall schwerwiegende Auswirkungen auf den Ruf des Unternehmens hatte.
Man sieht, dass es diesem Caotai-Unternehmen nicht wirklich um die Sicherheit des Internets geht, sondern darum, ob man damit Geld verdienen kann und wie man das Auto stehen lässt, um den gutaussehenden Menschen in der aktuellen Situation zu retten. Obwohl eMudhra betonte, dass ein detaillierter Untersuchungsbericht später veröffentlicht würde, weiß niemand, ob der später veröffentlichte Untersuchungsbericht detailliert genug sein wird, da eMudhra beschlossen hat, wegzulaufen.
Verwandte Artikel:
Enthusiasten verwenden durchgesickerte eMudhra-Zertifikate, um 106.000 Zertifikate für Google auszustellen, die die CA-Public-Key-Zertifizierung bestehen können
Kommentare