eMudhra napušta posao s TLS certifikatima nakon otkrića ključeva koje je bilo moguće provaliti u milisekundama

Indijska kompanija eMudhra Limited saopštila je da se povlači iz globalnog SSL/TLS poslovanja, samo dva dana nakon što su istraživači objavili da je izdala osam posrednih TLS certifikata čiji su privatni ključevi bili toliko slabi da ih je bilo moguće otkriti u milisekundama. Jedan od tih ključeva imao je vrijednost 4.

Odluku je u objavi od četvrtka obrazložio predsjednik kompanije V. Srinivasan. Kao razloge naveo je rastuće troškove i složenost usklađivanja s regulatornim zahtjevima, uz činjenicu da ovaj segment donosi svega jedan posto prihoda kompanije. Dodao je i da pojava organizacija koje TLS certifikate izdaju besplatno dodatno smanjuje isplativost u poređenju s drugim proizvodima i uslugama koje eMudhra nudi.

U istoj objavi kompanija je navela da je pažnja koju je incident dobio na društvenim mrežama nesrazmjerna mjestu koje SSL/TLS zauzima u njenom poslovanju, te da je upravni odbor nakon detaljnih razmatranja zaključio da je povlačenje iz globalnog SSL/TLS poslovanja ispravna odluka za eMudhru i njene dioničare.

Ključevi od 3 do 8 bita umjesto 384

Certifikati o kojima je riječ koristili su kriptografiju eliptičnih krivulja NIST P-384, kod koje privatni ključ treba sadržavati otprilike 384 bita entropije. To znači da bi broj mogućih ključeva trebao iznositi 2 na 384, odnosno broj sa 116 cifara. Osam kompromitovanih certifikata imalo je, međutim, ključeve veličine od 3 do 8 bita, pa je najjači među njima imao najviše 256 mogućih vrijednosti. Privatni ključevi bili su: 4, 56, 66, 115, 155, 156, 230 i 237.

Ko god bi uložio to malo vremena mogao je razbiti ključeve i pomoću njih generisati TLS certifikate kojima bi vjerovali svi veliki preglednici, kao i nepoznat broj mail servera, IoT uređaja, Docker kontejnera, zaboravljenih Linux mašina i neodržavanih alata komandne linije koji dolaze s vlastitom kopijom korijenskih certifikata.

Proizvođači preglednika blokirali su certifikate izdate pomoću spornih posrednih certifikata u roku od dan-dva od njihovog otkrića. eMudhra se gotovo sigurno suočavala s mogućnošću da joj CA/Browser Forum, industrijsko tijelo koje postavlja pravila za prijem u program TLS certifikata, oduzme status certifikacijskog autoriteta.

Šta je pošlo po zlu

Kompanija je u srijedu ponudila kratko objašnjenje. Prema njenim navodima, certifikati su kreirani pod ECC korijenskim certifikatom eMudhre tokom ceremonije generisanja ključeva (KGC) održane 30. aprila 2025. godine, uz korištenje hardverskih sigurnosnih modula (HSM) certificiranih po standardu FIPS 140-2 Level 3. Propust u ceremoniji doveo je do toga da je korak omatanja i odmatanja ključeva (wrap/unwrap) proizveo drugi, slabi set ključeva uz originalne jake. Upravo su slabi ključevi objavljeni u korijenskim skladištima preglednika. Kompanija navodi da radi na utvrđivanju osnovnog uzroka.

HSM-ovi su namjenski uređaji za čuvanje enkripcijskih ključeva i drugih visoko osjetljivih podataka, obično odvojeni od ostatka mreže kako bi se spriječilo curenje. Omatanje i odmatanje odnosi se na prijenos ključeva s jednog HSM-a na drugi: uređaj koji čuva ključ prije predaje ga omota drugim ključem, a nakon prijenosa novi HSM ga odmota.

U raspravi na Mozillinom forumu Bugzilla eMudhra je iznijela dodatne detalje. Kako navodi, izgleda da je postojao propust u KGC skripti korištenoj baš tog dana za kreiranje ECC izdavača. Pregled ceremonije, koda i ključeva na HSM-u do sada ukazuje na sljedeći slijed: originalni ECC ključevi kreirani su na uređaju kako je i predviđeno; zatim je uvedeno odobreno odstupanje od uobičajene procedure radi testiranja omatanja i odmatanja, jer su ključevi u ovom slučaju bili namijenjeni izvozu; greška u kodu dovela je do toga da je na uređaju kreiran i drugi, slabiji par ključeva; ti slabiji ključevi su greškom, jer su oznake ključeva bile slične, iskorišteni za kreiranje zahtjeva za potpisivanje certifikata (CSR), koji je potom potpisan korijenskim certifikatom kompanije.

CSR iz slabih ključeva poslan je i drugom certifikacijskom autoritetu, kompaniji Sectigo, radi unakrsnog potpisivanja, što je eMudhra provjerila uvidom u poslane datoteke. Liste opozvanih certifikata (CRL) prvobitno su potpisane originalnim privatnim ključevima, koji su trebali imati odgovarajuću entropiju, ali su zbog pogrešnih potpisa koji su iz toga proizašli naknadno potpisane manjkavim ključevima. Kompanija priznaje da je u više koraka procesa došlo do ljudskih grešaka koje su dovele do značajnih propusta u integritetu životnog ciklusa ključeva. Navodi da sada dublje istražuje greške u kodu, propuste u procesu i kontrole tipa maker/checker vezane za ovaj incident, te da će u narednoj sedmici ponovo provjeriti svaku ceremoniju generisanja ključeva koju je dosad održala.

CRL je digitalno potpisana lista koju objavljuje certifikacijski autoritet, a u kojoj su navedeni certifikati opozvani prije isteka roka važenja. Saznanje da je prvobitno potpisivanje rezultiralo pogrešnim CRL potpisima otvara pitanje zašto eMudhra tada nije istražila uzrok tog neuspjeha.

Blokiranjem posrednih certifikata u preglednicima najveći dio prijetnje je otklonjen. Međutim, mnogim drugim uređajima koji se oslanjaju na iste certifikate potrebno je znatno duže vrijeme da poduzmu isti korak, a neki, poput ugrađenih (embedded) uređaja, možda ih nikada neće moći blokirati.