Die Zertifizierungsstelle eMudhra steigt aus dem weltweiten Geschäft mit SSL/TLS-Zertifikaten aus. Zuvor war bekannt geworden, dass bei acht ihrer Zwischenzertifikate der private Schlüssel unter 256 lag und sich praktisch sofort berechnen ließ.
Schwache CA-Schlüssel
eMudhra steigt nach Schlüsselpanne aus TLS-Geschäft aus
Der Vorstand von eMudhra hat beschlossen, das globale SSL/TLS-Geschäft aufzugeben. Betroffene Kunden sollen ihre Zertifikate kostenlos durch solche von Partnern ersetzt bekommen. Für den Schritt führt das indische Unternehmen auch wirtschaftliche Gründe an. Das globale SSL/TLS-Geschäft bringe nur etwa 1 Prozent des Umsatzes. Vorgaben zu Datensouveränität und Compliance machten es aufwendig und teuer, und einige große Anbieter vergäben solche Zertifikate kostenlos. Hinzu komme, dass der Fall in sozialen Medien eine Aufmerksamkeit erhalten habe, die nicht zur Bedeutung der Sparte für das Unternehmen passe.
Das Ausmaß der Resonanz in den sozialen Medien rund um diesen Vorfall hat zu einer öffentlichen Aufmerksamkeit geführt, die in keinem Verhältnis zur Bedeutung von SSL/TLS für unser Geschäft steht. Vor diesem Hintergrund ist unser Vorstand nach eingehender Beratung zu dem Schluss gekommen, dass der Rückzug aus dem globalen SSL/TLS-Geschäft die richtige Entscheidung für eMudhra und seine Aktionäre ist.
eMudhra
Was weiterläuft
Ganz verschwindet eMudhra also nicht. Digitale Signaturzertifikate, eSign und die Plattform CertiNext betreibt das Unternehmen weiter. Auch die Sperr- und Statusdienste für TLS-Zertifikate sollen laufen, bis jedes ausgestellte Zertifikat abgelaufen oder ersetzt ist.
Bis zum Abschluss der Umstellung sollen Kunden über eMudhras RSA-Roots der Generation G1 versorgt werden. Ob Chrome diesen und den übrigen CA-Zertifikaten von eMudhra weiter vertraut, ist allerdings noch offen. Die Ankündigung erwähnt weder InCommon noch sagt sie, ob unter G1 bis zum Ausstieg noch neue Zertifikate ausgestellt werden.
Der Auslöser
Dem Beschluss ging eine folgenreiche Meldung voraus. Ein Sicherheitsforscher informierte Apple, Google, Microsoft, Mozilla und eMudhra, dass er die privaten Schlüssel von acht eMudhra-Zwischenzertifikaten ermittelt hatte. Eigentlich müsste ein solcher Schlüssel eine riesige Zufallszahl sein. Hier lag jeder unter 256 und war damit fast sofort zu berechnen.
Sechs der acht Zertifikate dienten der Ausstellung von Website-Zertifikaten. Chrome und Firefox sperrten sie innerhalb weniger Stunden. Laut Google wurde vorher kein Website-Zertifikat aus ihnen in den Certificate-Transparency-Logs erfasst, ein Missbrauch gegen Chrome sei daher nicht möglich gewesen. eMudhra gibt an, die Zertifikate nie für Kunden genutzt zu haben, und schließt einen Einbruch in seine Systeme aus.
Die Browserhersteller gingen dennoch weiter. Mozilla entschied am 20. Oktober, der darüberliegenden ECC-Root G3 in Firefox nicht mehr zu vertrauen. Chrome folgt am demnächst. Damit werden auch alle regulären Zertifikate unterhalb dieser Root ungültig.
(red)
