eMudhra beendet TLS-Zertifikatsgeschäft nach Sicherheitslücke
Der indische Zertifizierungsdienstleister eMudhra zieht sich aus dem TLS-Markt zurück, nachdem eine Sicherheitslücke in der Schlüsselgenerierung bekannt wurde.
Ende Oktober entzogen Google und andere Browser-Hersteller dem Root-Zertifikat der indischen Firma eMudhra das Vertrauen. Zuvor war bekannt geworden, dass das Unternehmen kryptografische Schlüssel erstellt hatte, die aufgrund eines fehlerhaften Prozesses bei einer Schlüsselerzeugungszeremonie extrem unsicher waren. Diese Lücke blieb über zwei Audit-Zyklen hinweg unentdeckt.
Nachdem das Problem gemeldet wurde, sperrten Hersteller wie Google, Mozilla, Apple und Microsoft die betroffenen Zertifikate innerhalb kürzester Zeit. Das Unternehmen, dessen TLS-Geschäft nach eigenen Angaben nur einen minimalen Anteil am Gesamtumsatz ausmacht, entschied daraufhin, sich komplett aus diesem Bereich zurückzuziehen. Mitgründer Kaushik Srinivasan räumte den Vorfall als schwerwiegenden Fehler ein.
Indische Behörden, darunter das IT-Ministerium und CERT-In, untersuchen derzeit den Vorfall. Über den Rückzug vom Markt hinaus steht nun die Frage im Raum, wie Zertifizierungsstellen in Indien in Zukunft reguliert werden und welche Konsequenzen derartige Sicherheitsversäumnisse nach sich ziehen.