eMudhra ने TLS कारोबार छोड़ा
मूल शीर्षक: Disgraced eMudhra drops out of TLS business after using cert private key of 4
यह क्यों महत्वपूर्ण है
TLS certificate infrastructure की विश्वसनीयता पर यह मामला Web PKI की कमज़ोरियों को उजागर करता है।
भारतीय Certificate Authority eMudhra ने वैश्विक SSL/TLS कारोबार से हटने की घोषणा की। कंपनी ने 8 ऐसे intermediate TLS certificates जारी किए थे जिनकी private key मात्र 4 bits तक थी, जिससे कोई भी किसी भी website के लिए certificate बना सकता था।
eMudhra Limited के chairman V. Srinivasan ने गुरुवार को एक पोस्ट में कहा कि बढ़ती compliance लागत और जटिलताएं, साथ ही TLS कारोबार से कंपनी की कुल आय का सिर्फ 1 प्रतिशत हिस्सा आना, इस फैसले के मुख्य कारण हैं। मुफ्त TLS certificate देने वाली संस्थाओं के उभरने से भी returns में कमी आई। कंपनी ने यह भी स्वीकार किया कि इस घटना को लेकर social media पर हुई आलोचना ने ऐसी जांच-पड़ताल को आमंत्रित किया जो SSL/TLS कारोबार में उनकी हिस्सेदारी के अनुपात से कहीं ज़्यादा थी।
मामले की शुरुआत तब हुई जब researchers ने खुलासा किया कि eMudhra ने 8 intermediate certificates ऐसी private keys के साथ जारी किए जिन्हें milliseconds में तोड़ा जा सकता था। NIST P-384 elliptic curve cryptography के तहत private key में करीब 384 bits की entropy होनी चाहिए, यानी 2^384 — 116 अंकों की संख्या — जितनी संभावनाएं। लेकिन इन 8 certificates की keys सिर्फ 3 से 8 bits के बीच थीं। सबसे मजबूत defective key में अधिकतम 256 possibilities थीं। Private keys के वास्तविक मान 4, 56, 66, 115, 155, 156, 230 और 237 थे।
eMudhra ने बुधवार को आंशिक स्पष्टीकरण दिया। इन certificates को 30 अप्रैल 2025 को हुए Key Generation Ceremony (KGC) में FIPS 140-2 Level 3 Hardware Security Modules (HSMs) का उपयोग करके बनाया गया था। KGC में एक खामी के कारण wrap/unwrap चरण में weak keys की एक अतिरिक्त श्रृंखला बन गई। Browser निर्माताओं ने खुलासे के एक-दो दिन के भीतर इन intermediate certificates से जारी सभी credentials को block कर दिया। CA/Browser Forum द्वारा कंपनी की CA status रद्द किए जाने का खतरा भी मंडरा रहा था।