Индийская компания eMudhra, занимающаяся разработкой цифровых решений, объявила о прекращении своей деятельности по выдаче SSL/TLS-сертификатов на международном уровне. Вместо этого, компания предлагает клиентам сертификаты, выпускаемые компанией Sectigo. Решение принято после того, как были скомпрометированы приватные ключи в восьми промежуточных центрах сертификации eMudhra.
Совет директоров компании принял решение о "добровольном уходе из бизнеса по выдаче SSL/TLS-сертификатов", – говорится в официальном сообщении eMudhra. Компания также отметила, что возрастающие требования к защите данных и соответствию нормативным актам значительно усложнили и удорожили эту сферу деятельности.
"Обсуждение инцидента в социальных сетях привлекло излишнее внимание, которое, по мнению eMudhra, не соответствует реальной значимости SSL/TLS для бизнеса компании", – заявил председатель совета директоров eMudhra, В. Srinivasan.
Компания заявила, что свяжется со всеми затронутыми клиентами, чтобы бесплатно заменить недействительные сертификаты. Кроме того, компания продолжит предоставлять услуги по отзыву и проверке статуса сертификатов до тех пор, пока все выпущенные сертификаты не будут отозваны или заменены.
Сектиго представлен как альтернатива
Компания eMudhra сообщила своим клиентам о начале предоставления сертификатов, выпущенных компанией Sectigo.
В обновлении для клиентов говорится: «Наши корневые сертификаты G1 остаются активными и продолжают полноценно поддерживаться». Ранее, в релизе от 22 октября, сообщалось, что «корневые сертификаты RSA G1 будут продолжать обслуживать клиентов до завершения этого перехода».
eMudhra заявила, что предоставит новые сертификаты бесплатно через своих партнеров. Компания также продолжит оказывать услуги отзыва и проверки статуса сертификатов до полного отзыва или замены всех выпущенных компанией сертификатов. Пользователи CertiNext могут запросить сертификаты Sectigo через свои учетные записи. Другие клиенты могут обратиться в службу поддержки eMudhra.
Нияти Дафтэри, ведущий аналитик Gartner, отметила, что организации должны рассматривать корневые сертификаты G1 «как возможный переходный этап, а не автоматически как окончательное решение».
«Учитывая, что компания покидает рынок глобальных SSL/TLS и ее оставшиеся корневые сертификаты по-прежнему находятся под пристальным вниманием браузеров, разумным решением будет перенести критические сервисы в независимую, полностью доверенную Центр Сертификации, когда это позволит срок», – заявила Дафтэри.
Эксперты рекомендуют использовать G1 для предотвращения внезапных сбоев, при этом важно установить четкие сроки и задокументировать план последующей миграции.
Также необходимо учитывать при оценке рисков информацию о третьих сторонах, включая органы, выдающие сертификаты, промежуточные и корневые сертификаты, механизмы кросс-подписи, инфраструктуру отзыва сертификатов и уровень доверия, который браузеры придают этим сертификатам.
Йеш Кадакия, сооснователь и технический директор Security Brigade, подчеркнул, что замена корневого сертификата, выпущенного той же компанией, не всегда решает проблемы доверия и управления.
«Организациям не нужно сталкиваться с двойной сменой сертификатов», — заявил Кадакия.
Компания Sectigo не предоставила немедленный комментарий.
Другие системы, включая Java, могут потребовать отдельных обновлений.
Замена сертификатов веб-сайтов, вероятно, не станет панацеей для корпоративных систем, считает Саша Гровер, руководитель исследовательской группы в IDC. Она подчеркнула, что существует риск, связанный с системами, самостоятельно управляющими хранилищами ключей, которые не обновляются в тех же темпах, что и веб-браузеры. К таким системам относятся хранилища ключей Java, среды выполнения языков программирования, образы контейнеров, конфигурации взаимного TLS, прокси-серверы, балансировщики нагрузки, VPN и устройства безопасности, а также встроенные устройства.
"Для многих организаций более сложной задачей станет то, что они не смогут ответить на эти вопросы", – заявила Гровер, говоря о том, где принимаются решения о доверии сертификатам, помимо браузеров и операционных систем.
Гровер отметила, что Google сообщила, что в логах Certificate Transparency не было обнаружено цепочек сертификатов, ведущих к заблокированным промежуточным сертификатам. Она сказала, что это успокаивает для клиентов, использующих Certificate Transparency, но некоторые приложения и устройства, не использующие браузеры, не поддерживают эту функцию. Эксплуатация также потребует от злоумышленника возможности перехвата трафика, заявила Гровер, описывая оставшийся риск как ограниченный и направленный, а не массовый.
Компания Azul, разработчик программного обеспечения на Java, сообщила о том, что стандартная версия Java не проверяет наличие обновлений цифровых сертификатов. Если Java Development Kit (JDK) не обновлена, она может продолжать принимать поддельный сертификат, подписанный скомпрометированным промежуточным ключом, если соответствующая цепочка сертификатов остается доверенной.
Azul объявила о выпуске обновленных версий OpenJDK и Azul Prime. Обновления включают в себя восемь затронутых сертификатов, которые были добавлены в список заблокированных сертификатов в JDK, как заявила компания.
Эксперт по безопасности, Гровер, рекомендовала командам безопасности сначала определить, где принимаются решения о доверии к сертификатам вне браузеров и операционных систем, уделяя особое внимание системам, которые принимают соединения от внешних пользователей и используют протокол TLS. Затем, по ее словам, необходимо определить, какие системы можно обновить, чтобы они перестали доверять конкретному промежуточному сертификату или общему ключу.
Chrome устанавливает срок для пользователей сертификатов
Компания Mozilla удалила корневой сертификат emSign ECC Root CA – G3, который подписывал восемь скомпрометированных промежуточных сертификатов, из своего хранилища доверия. Как сообщает Google, это изменение должно вступить в силу для всех устройств 27 октября, в течение утра по тихоокеанскому времени.
"Чтобы избежать проблем, владельцы веб-сайтов, чьи сертификаты связаны с emSign ECC Root CA – G3, должны немедленно приобрести и установить новые TLS-сертификаты", – говорится в сообщении Google.
Дарфати отметила, что многие предприятия знают своего поставщика сертификатов, но не осознают иерархию корневых сертификатов, лежащих в основе их доверия.
"Это создает риск, связанный с третьей стороной, который может затронуть тысячи сервисов одновременно", – заявила она. Она также подчеркнула, что директора по информационной безопасности (CISOs) должны учитывать в своих оценках рисков вопросы, связанные с выдачей корневых сертификатов, промежуточной подписи и инфраструктурой отзыва. "Вы можете передать обслуживание на аутсорсинг, но не можете передать ответственность", – добавил Кадакия.
