eMudhra keluar dari bisnis TLS setelah skandal kunci enkripsi
Judul asli: Disgraced eMudhra drops out of TLS business after using cert private key of 4
Mengapa Ini Penting
Kepercayaan pada infrastruktur TLS global bergantung pada kepatuhan ketat otoritas sertifikat.
eMudhra, otoritas sertifikat asal India, umumkan pengunduran diri dari bisnis TLS global setelah terungkap menerbitkan 8 sertifikat dengan kunci enkripsi selemah 4 bit.
eMudhra Limited resmi mundur dari bisnis SSL/TLS global setelah skandal besar: perusahaan menerbitkan delapan sertifikat intermediate TLS dengan kunci enkripsi yang sangat lemah—bahkan satu di antaranya hanya bernilai 4 bit. Padahal standar NIST P-384 mensyaratkan sekitar 384 bit entropi, yang berarti ada 2^384 kemungkinan kunci. Kunci-kunci bermasalah itu hanya punya nilai: 4, 56, 66, 115, 155, 156, 230, dan 237—sehingga siapa pun bisa memecahnya dalam hitungan milidetik, lalu mencetak sertifikat TLS yang dipercaya semua browser besar.
Akar masalahnya terjadi saat Key Generation Ceremony (KGC) pada 30 April 2025 menggunakan Hardware Security Module (HSM) FIPS 140-2 Level 3. Cacat pada proses wrap/unwrap menghasilkan kunci-kunci lemah itu. Browser makers memblokir sertifikat tersebut dalam satu hingga dua hari setelah temuan para peneliti dipublikasikan.
Ketua eMudhra, V. Srinivasan, beralasan biaya kepatuhan yang meningkat dan pendapatan dari TLS hanya 1 persen dari total bisnis. Perusahaan juga menyinggung persaingan dari layanan sertifikat gratis. Namun dalam pernyataan resminya, eMudhra mengkritik 'amplifikasi media sosial yang tidak proporsional' atas insiden ini.