eMudhra ได้โพสต์คำอธิบายเกี่ยวกับปัญหานี้บน Bugzilla โดยระบุว่า ในระหว่างการสร้างคีย์ครั้งหนึ่งเมื่อวันที่ 30 เมษายน 2025 คีย์คู่ของ CA ลูกน้อง 16 คู่ถูกสร้างขึ้นใน HSM และผ่านการประมวลผลด้วยสคริปต์ Python ที่กำหนดเอง
แม้ว่า eMudhra จะตั้งใจสร้างคีย์ส่วนตัว ECDSA P-384 แต่สคริปต์ดังกล่าวมีข้อบกพร่องในการนำเข้าโค้ด ซึ่งทำให้การอ่านค่ากลับมานั้นเกิดการตัดทอนค่า ทำให้คีย์สาธารณะที่ได้รับการรับรองนั้นสัมพันธ์กับสเกลาร์ส่วนตัวที่ต่ำกว่าที่คาดการณ์และสามารถกู้คืนได้จากข้อมูลสาธารณะ
ปัญหาเกิดขึ้นเนื่องจากข้อจำกัดของห่วงโซ่อุปทานระดับโลก ทำให้ eMudhra ไม่สามารถจัดหา HSM ซึ่งเป็นอุปกรณ์ที่ใช้สร้างและจัดเก็บคีย์เข้ารหัสได้ทันเวลา สำหรับการออกใบรับรองที่จะใช้ในสหรัฐอเมริกา
สมาชิกทีม Mozilla ได้สังเกตเห็นว่าคีย์ของบริษัทนั้นอ่อนแออย่างมาก และชี้ให้เห็นว่าผู้โจมตีสามารถออกใบรับรองปลอมเพื่อปลอมแปลงเซิร์ฟเวอร์ ดักฟัง หรือแก้ไขข้อมูลระหว่างทางได้ ส่งผลให้ eMudhra ตัดสินใจยุติธุรกิจการรับรอง SSL/TLS และจะดำเนินการปรับปรุงตามข้อเสนอแนะจากการตรวจสอบอิสระต่อไป
ศัพท์ที่ควรรู้
- CA (Certificate Authority) – หน่วยงานที่ออกและรับรองความถูกต้องของใบรับรองดิจิทัล
- HSM (Hardware Security Module) – อุปกรณ์เฉพาะทางที่ใช้ในการสร้างและจัดเก็บคีย์เข้ารหัสอย่างปลอดภัย
- ECDSA P-384 – หนึ่งในอัลกอริทึมที่ใช้ในการสร้างคีย์เข้ารหัสแบบกุญแจสาธารณะ
- Truncated – การถูกตัดทอนข้อมูล ทำให้ข้อมูลไม่ครบถ้วนตามที่ควรจะเป็น
ที่มา: The Register