Résumé :
La société indienne d'infrastructure de certification numérique eMudhra a récemment publié une réponse à la question des rapports d'enquête sur les certificats. L’entreprise de base pensait en fait que l’examen des médias sociaux et l’analyse des investisseurs et des clients empêchaient l’équipe de mener des enquêtes significatives. Cette réponse a immédiatement provoqué le mécontentement des employés de Google. Les employés de Google et ceux de la Fondation Mozilla ont accusé eMudhra de tenter de se soustraire à ses responsabilités.
Dans le fil de discussion Bugzilla, les parties prenantes de l'industrie ont demandé à eMudhra de publier le rapport d'enquête sur l'accident dès que possible. Cependant, eMudhra a retardé à plusieurs reprises la publication du rapport d’enquête. La raison invoquée était que les médias sociaux et l’attention de l’industrie empêchaient l’entreprise de mener une enquête significative.
Par la suite, les membres du Google Root Certificate Project ont fait remarquer que l'attention du public était une conséquence prévisible de l'incident et que cette attention ne devrait pas être utilisée comme une raison pour retarder la réponse. Les employés de la Fondation Mozilla partagent également les préoccupations de Google et exigent qu'eMudhra assume ses responsabilités envers la communauté.
Le débat public peut effectivement mettre la pression sur eMudhra, mais cela n'empêchera pas l'entreprise de continuer à examiner les scripts de génération de clés, divers enregistrements et journaux des modules de sécurité matérielle. eMudhra relie directement le contrôle externe à l'incapacité d'enquêter, ce qui permet aux gens de penser facilement qu'eMudhra se préoccupe d'abord de l'environnement de l'opinion publique plutôt que de produire un rapport d'enquête sur un accident qui peut être examiné dès que possible.
Dans le fil de discussion, Google et la Fondation Mozilla ont soulevé les questions suivantes à propos de cet incident de certificat : qu'est-ce qui n'a pas fonctionné spécifiquement dans le processus de génération de clé, pourquoi ils n'ont pas continué à le poursuivre lorsqu'il a été découvert en 2025 que la signature CRL ne correspondait pas au certificat, et pourquoi l'existence d'un deuxième jeu de clés n'a pas été mentionnée dans les rapports d'incident précédents.
Ces questions nécessitent des scripts, des enregistrements opérationnels et des délais pour répondre. L'activité CA est la pierre angulaire de la sécurité Internet mondiale. L’approche irresponsable d’eMudhra a rendu l’industrie très mécontente.
Il convient de noter qu'eMudhra a précédemment annoncé son retrait du secteur mondial des certificats TLS/SSL. Cependant, dans sa déclaration de retrait, eMudhra a souligné que l'activité de certificats représente moins de 1 % des revenus de l'entreprise et que cet incident de sécurité a eu un impact sérieux sur la réputation de l'entreprise.
On peut voir que ce qui importe vraiment à cette société Caotai, ce n'est pas la question de la sécurité Internet, mais la question de savoir si elle peut gagner de l'argent et comment abandonner la voiture pour sauver le beau dans la situation actuelle. Bien qu'eMudhra ait souligné qu'un rapport d'enquête détaillé serait publié ultérieurement, étant donné qu'eMudhra a décidé de s'enfuir, personne ne sait si le rapport d'enquête publié ultérieurement sera suffisamment détaillé.
Articles connexes :
Les passionnés utilisent les certificats divulgués par eMudhra pour émettre 106 000 certificats pour Google, qui peuvent passer la certification de clé publique de l'autorité de certification
Commentaires