Оновлення 2 - Індійська eMudhra спричинила глобальну тривогу через уразливість безпеки та залишає бізнес веб-безпеки

Додавайте цитати та деталі в усьому тексті

Abhirami G

Reuters, 22 жовтня - Цифрова безпека компанія eMudhra (EMUD.NS) виходить із бізнесу видачі цифрових сертифікатів для глобальних сайтів, зокрема для індійських податкових порталів. Це сталося після того, як основні виробники браузерів заблокували її сертифікати через виявлені уразливості в безпеці, що спричинило глобальні побоювання щодо кібербезпеки.

У четвер компанія оголосила про це рішення , після того як такі технологічні гіганти, як Google GOOGL.O, Apple AAPL.O і Microsoft MSFT.O припинили довіряти її SSL/TLS сертифікатам — ці сертифікати використовуються для шифрування даних між користувачем і сайтом, щоб запобігти перехопленню хакерами.

Ці уразливості були оприлюднені на минулих вихідних, коли незалежний дослідник з кібербезпеки виявив ключові недоліки у низці основних сертифікатів eMudhra.

Клієнтська база EMudhra охоплює широкий спектр: від ІТгігантів Infosys (INFY.NS) та TCS (TCS.NS) до державних органів, а їхні сертифікати захищають важливі сайти, зокрема індійський податковий портал.

“Сертифікати eMudhra широко визнаються на міжнародному рівні, і ця уразливість спричинила кризу довіри у сфері кібербезпеки в усьому світі,” — сказав Мредул Сарда (Mredul Sarda), засновник розташованої в Сан-Франциско компанії з кібербезпеки Causal Security.

У своїй заяві eMudhra повідомила, що цю уразливість не виявили протягом останніх 18 місяців, і вона пройшла дві перевірки.

За словами співзасновника Каушика Срінівасана (Kaushik Srinivasan), у коментарі для Reuters, ця уразливість виникла внаслідок того, що минулого квітня eMudhra згенерувала вісім ключів, які були випадково скорочені програмним забезпеченням, що значно знизило їхню безпеку.

Криптографічний ключ — це довгий рядок символів, який використовується для шифрування та розшифрування даних за допомогою алгоритму. Але ключі eMudhra були надто короткі, що робило шифрування легко вразливим для зламу.

“Достатньо, щоб хоча б один центр сертифікації був скомпрометований — і зловмисник може видавати себе за будь-який сайт,” — зазначає незалежний консультант, старший науковий співробітник департаменту військових досліджень Королівського коледжу Лондона, Лукаш Олєйнік (Lukasz Olejnik).

Хоча браузери швидко заблокували ці скомпрометовані сертифікати, пристрої з рідкими оновленнями все ще можуть залишатися під загрозою. “Мільйони старих пристроїв можуть бути вразливими ще роками чи навіть завжди, оскільки вони все ще довіряють цим сертифікатам,” — додає Олєйнік.

Індійська команда реагування на комп’ютерні надзвичайні ситуації у середу повідомила, що деякі проміжні сертифікати eMudhra було скомпрометовано.

eMudhra заявила, що анулювала вісім сертифікатів, але запевнила, що її інфраструктура не постраждала, і витоку даних не сталося.

У компанії зазначили, що увага соціальних мереж спричинила непропорційний тиск на цей напрям бізнесу, який становить лише 1% її доходу.

Реакція інвесторів була різкою — за два дні після оприлюднення уразливості акції eMudhra впали на 40%.

(З метою зручності для користувачів, чия рідна мова не англійська, Reuters автоматично перекладає свої матеріали кількома іншими мовами. Оскільки автоматичний переклад може містити помилки або не передавати повний контекст, Reuters не гарантує точність перекладеного тексту й надає його лише для зручності. Reuters не несе жодної відповідальності за будь-яку шкоду чи збитки, спричинені використанням функції автоматичного перекладу.)