Update 2–Nagdulot ng pandaigdigang babala ang eMudhra ng India dahil sa natuklasang security vulnerability, umatras mula sa website security business

Magdagdag ng mga sipi at detalye sa buong artikulo

Abhirami G

Reuters, Oktubre 22 - Ang kumpaniyang digital security na eMudhra (EMUD.NS) ay tuluyan nang umaalis sa negosyo ng pag-isyu ng digital certificate para sa mga global na website, kabilang dito ang tax portal ng India. Ito ay kasunod ng pangunahing mga browser vendors na nag-block ng kanilang certificate dahil sa mga issue sa seguridad na nagdulot ng pangamba sa cybersecurity sa buong mundo.

Noong Huwebes, inihayag ng kumpanya ang desisyong ito matapos ang mga higanteng teknolohiya kabilang ang Google GOOGL.O, Apple AAPL.O, at Microsoft MSFT.O ay tumigil na sa pagtitiwala sa kanilang SSL/TLS certificates—mga certificate na ginagamit para i-encrypt ang data na ipinapasa sa pagitan ng mga user at website upang maprotektahan laban sa hackers.

Nabunyag ang mga kahinaang ito noong nakaraang weekend, nang matuklasan ng isang independent cybersecurity researcher na ilang pangunahing sertipiko ng eMudhra ay may mga kahinaang maaaring ma-exploit.

Malawak ang sakop ng mga kliente ng eMudhra, mula sa mga IT giant na Infosys (INFY.NS ) at TCS (TCS.NS) hanggang sa mga ahensiya ng gobyerno, at pinoprotektahan ng kanilang certificates ang mahahalagang website gaya ng tax portal ng India.

"Malawak na iginagalang sa internasyonal ang certificates ng eMudhra, at ang ganitong kahinaan ay nagdudulot ng krisis sa pagtitiwala sa global cybersecurity," sabi ni Mredul Sarda, ang founder ng cybersecurity company na Causal Security na nakabase sa San Francisco.

Sinabi ng eMudhra sa kanilang pahayag na ang kahinaang ito ay hindi natukoy sa loob ng nakaraang 18 buwan, at nakapasa pa ito sa dalawang auditing rounds.

Inilahad ni co-founder Kaushik Srinivasan sa Reuters na ang kahinaan ay nagmula sa walong keys na nabuo ng eMudhra noong Abril ng nakaraang taon, ngunit ito ay hindi sinasadyang napaiikli ng kanilang software kaya bumaba ang antas ng seguridad.

Ang encryption key ay isang mahabang string ng karakter na ginagamit para i-encrypt at i-decrypt ng data kapag pinoproseso sa pamamagitan ng algorithm. Ngunit naging mas madali umanong mabasag ang encryption dahil sa mas maikling key length ng eMudhra.

"Kapag na-compromise ang isang certificate authority, kaya nang magpanggap ng attacker bilang kahit anong website," ayon kay Lukasz Olejnik, isang independent consultant at guest senior research fellow sa King's College London War Studies department.

Bagaman mabilis na na-block ng mga browser ang na-expose na certificates, maaaring nasa panganib pa rin ang mga devices na bihirang mag-update ng software. "Milyun-milyong lumang devices ang maaaring mapanganib sa loob ng maraming taon, o kahit permanenteng, dahil maaari pa rin nilang pagkatiwalaan ang ganitong mga certificates," ayon kay Olejnik.

Iniulat ng Computer Emergency Response Team ng India nitong Miyerkules na may ilang intermediate certificate ng eMudhra na na-expose na.

Sinabi ng eMudhra na ni-revoke na ang walong certificates, ngunit iginiit nila na hindi naapektuhan ang kanilang infrastructure at walang data na nabunyag.

Ayon sa kumpanya, dahil sa social media attention, sumailalim sa hindi proporsyonal na pagsusuri ang segment ng negosyo nila na bumubuo lamang ng 1% ng kanilang kita.

Matindi ang naging reaksyon ng mga mamumuhunan; sa loob ng dalawang araw mula nang mabunyag ang kahinaan, bumaba ng 40% ang presyo ng shares ng eMudhra.

(Para sa kaginhawahan ng mga hindi katutubong nagsasalita ng Ingles, isinasalin ng Reuters ang kanilang mga balita sa iba't ibang wika sa pamamagitan ng automation. Dahil posibleng may kamalian ang automated translation o kulang ang konteksto, hindi ginagarantiyahan ng Reuters ang katumpakan ng isinaling teksto at ito ay para lamang sa kaginhawahan ng mambabasa. Ang Reuters ay walang pananagutan sa anumang pinsala o pagkalugi dulot ng paggamit ng automated translation.)