Sertifika otoritesi eMudhra, TLS işinden çekiliyor.
Ars Technica'nın haberine göre Hint PKI sektörünün köklü isimlerinden ve yıllardır tarayıcı ile işletim sistemleri güven listelerinde yer alan şirket, özel anahtarla ilgili bir hatanın ortaya çıkmasının ardından sertifika operasyonlarını sonlandırıyor. Habere göre eMudhra, çıkardığı sertifikalara ait bir özel anahtarı kullandı. Bu, CA/Browser Forum'un temel gerekliliklerinin en altında duran kural: her sertifika, CA'nın yeniden kullanmadığı ve saklamadığı taze bir anahtar çiftiyle çıkarılmalı.
Sonuçlar tek bir hatalı issuance'ın ötesine geçiyor. Sertifika otoriteleri, denetimler ve Google, Mozilla ile Apple'ın yürüttüğü güven programları üzerinden ayakta duruyor; anahtar yönetiminde gevşek davranan bir CA, 'güvenilmezlik' sürecine sokulabiliyor — pratikte bu, çıkardığı sertifikaların kabul edilmemesi demek. eMudhra için görünüşe göre daha ucuz yol, düzeltme ve yeniden denetim sürecine girmek değil, TLS pazarından tamamen çıkmaktı.
Web sitesi operatörleri için pratik adım her zamanki gibi aynı: altyapınızdaki sertifikaların hangilerinin eMudhra tarafından çıkarıldığını belirleyin ve mevcut süreler dolmadan yenilerini planlayın. Geniş PKI ekosistemi için bu olay, web'in güven katmanının ne kadar yoğunlaşmış ve ne kadar kırılgan olduğunu ve tek bir kontrol hatasının onlarca yılda kurulmuş bir işi ne kadar hızlı bitirebileceğini bir kez daha hatırlatıyor.
