印度数字认证基础设施公司eMudhra日前就证书调查报告问题发布回应，这家草台公司竟然认为社交媒体审视、投资者和客户分析让团队无法开展有意义的调查。这种回应立即引起Google员工的不满，Google员工和Mozilla基金会员工均指责eMudhra试图推卸责任。
在Bugzilla讨论帖中行业相关人士要求eMudhra公司尽快发布事故调查报告，不过eMudhra多次推迟发布调查报告，给出的原因竟然是社交媒体和行业的关注让该公司无法开展有意义的调查。
随后Google根证书项目成员发布评论称，公众关注是这起事故的可预见后果，不能让公众关注成为延迟回应的理由。Mozilla基金会员工也认同Google的关切，要求eMudhra公司履行对社区的责任。
公众讨论确实可能会给eMudhra带来压力，但这不会妨碍该公司继续检查密钥生成脚本、各类记录和硬件安全模块日志。eMudhra将外界审视与无法调查直接联系起来，容易让人觉得eMudhra首先关心的是舆论环境而非尽快拿出可供审查的事故调查报告。
在讨论线程中Google和Mozilla基金会就此次证书事故提出以下问题：密钥生成流程具体出了什么错、为什么2025年发现CRL签名与证书不匹配时没有继续追查、此前的事故报告中为什么没有说明存在第二组密钥。
这些问题需要脚本、操作记录和时间线来回答，CA业务是全球互联网安全的基石，eMudhra这种一走了之的不负责任做法让行业非常不满。
值得注意的是，eMudhra此前已经宣布退出全球TLS/SSL证书业务，不过在退出声明中eMudhra强调的是证书业务占公司营收不足1%、此次安全事故给公司声誉造成严重影响。
可以看到这家草台公司真正关心的并不是互联网安全问题，而是能不能赚钱以及现在这种情况怎么弃车保帅。尽管eMudhra强调后续会发布详细的调查报告，但考虑到eMudhra已经决定跑路，没人知道后面发布的调查报告是否足够详细。
相关文章:
爱好者们使用eMudhra泄露证书为谷歌签发10.6万张证书能通过CA公钥认证
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】