Resumen:
La empresa india de infraestructura de certificación digital eMudhra emitió recientemente una respuesta a la cuestión de los informes de investigación de certificados. La empresa de base realmente creía que la revisión de las redes sociales y el análisis de inversores y clientes impedían que el equipo realizara investigaciones significativas. Esta respuesta provocó inmediatamente el descontento entre los empleados de Google. Tanto los empleados de Google como los de la Fundación Mozilla acusaron a eMudhra de intentar eludir su responsabilidad.
En el hilo de discusión de Bugzilla, las partes interesadas de la industria solicitaron a eMudhra que publicara el informe de investigación del accidente lo antes posible. Sin embargo, eMudhra retrasó muchas veces la publicación del informe de la investigación. La razón dada fue que las redes sociales y la atención de la industria impidieron que la empresa llevara a cabo una investigación significativa.
Posteriormente, los miembros del Proyecto de Certificado Raíz de Google comentaron que la atención del público era una consecuencia previsible del incidente y que la atención del público no debería utilizarse como motivo para retrasar la respuesta. Los empleados de la Fundación Mozilla también comparten las preocupaciones de Google y exigen que eMudhra cumpla con sus responsabilidades para con la comunidad.
De hecho, la discusión pública puede ejercer presión sobre eMudhra, pero esto no impedirá que la empresa continúe examinando scripts de generación de claves, varios registros y registros de módulos de seguridad de hardware. eMudhra vincula directamente el escrutinio externo con la incapacidad de investigar, lo que hace que sea fácil para la gente pensar que eMudhra se preocupa primero por el entorno de la opinión pública en lugar de producir un informe de investigación de accidentes que pueda revisarse lo antes posible.
En el hilo de discusión, Google y la Fundación Mozilla plantearon las siguientes preguntas sobre este incidente de certificado: qué salió mal específicamente en el proceso de generación de claves, por qué no continuaron con él cuando se descubrió en 2025 que la firma CRL no coincidía con el certificado y por qué no se indicó la existencia de un segundo conjunto de claves en informes de incidentes anteriores.
Estas preguntas requieren guiones, registros operativos y cronogramas para responder. El negocio de CA es la piedra angular de la seguridad global de Internet. El enfoque irresponsable de eMudhra ha dejado a la industria muy insatisfecha.
Vale la pena señalar que eMudhra anunció previamente su retirada del negocio global de certificados TLS/SSL. Sin embargo, en su declaración de retirada, eMudhra enfatizó que el negocio de certificados representa menos del 1% de los ingresos de la empresa y que este incidente de seguridad ha tenido un grave impacto en la reputación de la empresa.
Se puede ver que lo que realmente le importa a esta empresa Caotai no es la cuestión de la seguridad en Internet, sino si puede ganar dinero y cómo abandonar el coche para salvar a los guapos en la situación actual. Aunque eMudhra enfatizó que más tarde se publicaría un informe de investigación detallado, considerando que eMudhra decidió huir, nadie sabe si el informe de investigación publicado más tarde será lo suficientemente detallado.
Artículos relacionados:
Los entusiastas utilizan los certificados filtrados de eMudhra para emitir 106.000 certificados para Google, que pueden pasar la certificación de clave pública de CA
Comentarios