eMudhra退出TLS证书市场，签名密钥遭泄露引关注

网络安全专家建议企业全面审查证书依赖关系，不应仅限于浏览器层面，因为信任库的变更已开始生效。

印度数字信任公司eMudhra宣布将退出全球SSL/TLS证书业务，并为客户提供Sectigo签发的证书作为替代方案。此前，该公司旗下八个中间证书颁发机构的私钥遭到泄露。

eMudhra在一份新闻声明中表示，公司董事会决定"自愿退出全球SSL/TLS证书业务"。公司补充说，数据主权和合规要求的提高增加了该业务的复杂性和成本。

eMudhra董事长V·斯里尼瓦桑在声明中表示："围绕此次事件在社交媒体上的放大效应，使其受到的关注程度远超SSL/TLS业务在我们整体业务中的实际占比。"

该公司表示，将联系受影响的客户，免费为其更换证书。公司还表示，将持续运行吊销和证书状态查询服务，直到所有已签发的证书到期或被替换为止。

提供Sectigo作为替代方案

在给客户的更新通知中，eMudhra表示将向所有客户提供Sectigo签发的证书。

公司在更新中表示："我们的G1根证书仍保持有效，并将继续获得全面支持。"10月22日发布的通知称，G1 RSA根证书"将在过渡完成之前持续为客户提供服务"。

eMudhra表示，将通过其合作伙伴免费提供替换证书，并将继续运行吊销和证书状态服务，直至其签发的所有证书到期或被替换。CertiNext用户可通过其账户申请Sectigo证书，其他客户可联系eMudhra支持团队，声明中补充道。

Gartner首席分析师尼亚蒂·达夫塔里表示，企业应将G1根证书视为"一种可能的过渡方案，而非自动默认的最终选择"。

达夫塔里说："鉴于该公司已退出全球SSL/TLS业务，其剩余的根证书仍面临浏览器厂商的审查，审慎的做法是在截止日期允许的情况下，将关键服务迁移至独立且完全受信任的证书颁发机构。"

她建议，如果使用G1证书是为了避免立即发生服务中断，企业应设定明确的截止日期，并记录后续的迁移计划。

她建议在第三方风险评估中纳入签发机构、中间证书和根证书、交叉签名安排、吊销基础设施以及浏览器信任状态等内容。

Security Brigade联合创始人兼首席技术官亚什·卡达基亚表示，迁移至同一家公司运营的另一个根证书，并不一定能解决信任和治理方面的问题。

卡达基亚说："企业最不希望看到的就是被迫进行两次迁移。"

Sectigo方面未立即回应置评请求。

Java及其他系统可能需要单独修复

IDC研究总监萨克希·格罗弗表示，仅更换网站证书可能无法解决企业环境中的所有依赖关系问题。她指出，残留风险存在于那些维护自有信任库、且更新周期与浏览器不同步的系统中。这些系统包括Java密钥库、各类编程语言运行环境、容器镜像、双向TLS配置、代理服务器、负载均衡器、VPN及安全设备，以及嵌入式设备。

格罗弗说："对许多企业而言，更棘手的问题在于，它们根本无法回答这些问题。"她指的是那些在浏览器和操作系统之外独立做出证书信任决策的场景。

格罗弗提到，谷歌报告称，在相关中间证书被屏蔽之前，并未在证书透明度日志中发现任何证书链接到这些受影响的中间证书。她表示，这对于强制执行证书透明度机制的客户而言是一个积极信号，但部分非浏览器应用程序和设备并未启用该机制。她还指出，攻击者要实施利用，还需具备拦截流量的能力，因此她将剩余风险描述为有限且具有针对性，而非大范围风险。

Java供应商Azul在一份声明中表示，Java默认不检查证书吊销状态。因此，如果未打补丁的Java开发工具包（JDK）仍然信任相关证书链，它可能会继续接受使用已泄露中间密钥签名的伪造证书。

Azul表示已发布更新版本的Azul Zulu OpenJDK构建版和Azul Prime。该公司称，这些更新已将八个受影响的证书添加到JDK的证书屏蔽列表中。

格罗弗建议，安全团队首先应识别浏览器和操作系统之外的信任决策发生在何处，优先处理那些接受外部连接以及双向TLS端点的系统。随后，团队应确定哪些系统可以更新，以实现对特定中间证书或公钥的信任撤销。

Chrome为证书持有者设定的截止日期

Mozilla已将签发这八个受泄露中间证书的根证书emSign ECC Root CA – G3从其信任库中移除。谷歌在一篇博客文章中表示，该根证书从Chrome信任库中移除的操作预计将于太平洋时间10月27日上午推送至所有设备。

谷歌在文中表示："为避免服务中断，证书链指向emSign ECC Root CA – G3的网站运营商必须立即获取并安装新的TLS证书。"

达夫塔里表示，企业通常知道自己的证书经销商是谁，却不了解支撑其信任体系的证书颁发机构层级结构。

她说："这就造成了一种未被识别的'第四方风险'，可能同时影响数千项服务。"她补充说，首席信息安全官（CISO）应将签发证书的CA机构、根证书、交叉签名安排以及吊销基础设施纳入第三方网络风险评估范围。卡达基亚表示："你可以外包一项服务，但你无法外包责任。"