eMudhra wycofuje się z globalnego rynku certyfikatów SSL/TLS po incydencie

eMudhra 22 października ogłosiła wycofanie się z globalnego rynku certyfikatów SSL/TLS. To nowa informacja po opisanym wcześniej problemie słabych kluczy ośmiu pośrednich urzędów certyfikacji. Dla klientów oznacza zapowiedź przejścia do innych dostawców oraz konieczność śledzenia zasad tej migracji.

Co zmienia decyzja firmy

Decyzję podjął zarząd przedsiębiorstwa. W oświadczeniu eMudhra wskazuje rosnące koszty, wymagania zgodności i złożoność prowadzenia tej działalności. Firma przedstawia wycofanie jako zmianę dotyczącą globalnych certyfikatów SSL/TLS, oddzielając ją od pozostałych usług zaufania i rozwiązań przedsiębiorstwa.

Nowym zdarzeniem jest zatem zakończenie działalności w tym obszarze, a nie ponowne ujawnienie wad kluczy. Reuters oraz The Record niezależnie opisały decyzję 22 października. Wcześniejszy incydent doprowadził do działań dostawców przeglądarek ograniczających zaufanie do dotkniętych certyfikatów.

Jak ma wyglądać przejście

eMudhra deklaruje współpracę z programami przeglądarek oraz klientami. Według oświadczenia korzenie G1 RSA mają obsługiwać klientów do zakończenia przejścia. Firma zapowiada kontakt z osobami objętymi zmianą oraz bezpłatną wymianę certyfikatów za pośrednictwem partnerów.

Usługi unieważniania i sprawdzania statusu mają działać do czasu wygaśnięcia lub zastąpienia wszystkich wydanych certyfikatów. Przedsiębiorstwo deklaruje też wykonanie pozostałych zobowiązań wobec programów głównych urzędów certyfikacji, w tym przygotowanie raportu o przyczynie problemu. Są to zapowiedzi firmy, których realizację trzeba śledzić.

Co sprawdzić w organizacji

• Ustalić, czy używane certyfikaty i ich łańcuchy zaufania zależą od eMudhra lub emSign.
• Zebrać informacje o terminach ważności i osobach odpowiedzialnych za wymianę.
• Zweryfikować oficjalne instrukcje migracji przed zmianami w usługach.
• Przetestować połączenia po wymianie certyfikatu, również w aplikacjach i narzędziach automatycznych.

Komentarz SecurHUB

Zapowiedziana zmiana dostawcy pokazuje znaczenie aktualnego wykazu certyfikatów i zależności usług. Audyty bezpieczeństwa pomagają ustalić, kto odpowiada za ich odnawianie, wymianę i kontrolę poprawności konfiguracji.

Źródła: Oświadczenie eMudhra, The Record, Reuters / MarketScreener