Антикризис по-индийски Болливудский сюжет случился у индийской компании eMudhra. От репутационного кризиса до ухода с рынка ее отделяло всего... два дня. Но между этими событиями произошло раскрытие технической ошибки, демарш партнеров, недоверие СМИ, падение акций и неожиданная позиция регулятора. Если по-простому, eMudhra зарабатывала на цифровом доверии и еще пару дней назад выдавала сертификаты безопасности сайтам, что подтверждало их легитимность в браузерах. Сертификатам eMudhra доверяли серьезные парни типа Apple, Google, Microsoft и Mozilla. Но так вышло, что восемь приватных ключей промежуточных удостоверяющих центров eMudhra оказались такой мощности, что один из них был просто числом 4. Остальные тоже недалеко ушли: 56, 115, 155 и прочие достижения криптографии. Уже знакомый нам по кейсу MAG ресерчер Скотт Хелме восстановил все эти ключи из публичных сертификатов меньше чем за секунду. Ошибка 18 месяцев оставалась неисправленной и даже успешно пережила два независимых аудита. А дальше следим за таймингом: ➡️ 17 октября Скотт сообщает о своей находке eMudhra, Google, Apple, Microsoft и Mozilla. Последние спешно открещиваются от сертификатов eMudhra. ➡️ 20 октября история с ключом на 4 выходит в паблик. Акции компании за два дня падают на ~ 40%. ➡️ 21 октября компания вышла с объяснениями: да, с ключами не задалось, но взлома инфраструктуры не было, утечки клиентских данных тоже, сертификаты отозвали. Но это не убедило ни партнеров, ни СМИ: в медиа и соцсетях начался апокалипсис. ➡️ 22 октября eMudhra распространяет пресс-релиз о том, что компания уходит с глобального рынка SSL/TLS-сертификатов. Но вместо того, чтобы честно признать провал с безопасностью, болливудский сюжет разворачивается вокруг деняк: в релизе компания сообщает, что этот бизнесишко был ей не особо-то и нужен и приносил eMudhra всего около 1% выручки, требования к нему становились все дороже и сложнее, бесплатные сертификаты крупных игроков давили на рынок, поэтому, мол, решение-то зрело давно. Компания добавляет: а, ну и масштаб внимания в соцсетях оказался непропорционален значению этого бизнеса для eMudhra, поэтому мы сматываем удочки. Попытку объяснить кризис неожиданным резонансом, когда речь шла об удостоверяющем центре, приватный ключ которого равнялся четырем, медиа оценили, сидя с попкорном. Ироничный заголовок We didn't want to issue SSL/TLS certs anyway от журналистов The Register, затем наброс посерьезнее от Reuters, которая связала уход eMudhra с проблемами безопасности и падением акций. The Record добивает, что индийский CERT вообще-то всех давно предупреждал. Твист в сюжете: внезапно на защиту eMudhra встало индийское Министерство электроники и ИТ. Оно заявило, что расследует инцидент, одновременно обвинив некоторых воздуханов в нагнетании. Всем бы такого регулятора! Суммарно eMudhra насчитывает 850+ сотрудников. Сколько из них работали в SSL/TLS-направлении, о закрытии которого они, возможно, узнали из пресс-релиза, неизвестно. Финально компания пообещала бесплатно перевести своих клиентов к другим поставщикам, поддерживать процедуры по сертификатам до их замены или истечения, а также выпустить отчет по инциденту. 🔠🔠🔠🔠🔠🔠 Если вам кажется, что вы сочинили классную легенду, чтоб прикрыть ею технический или иной фейл, то, возможно, это только кажется, и вы прямо сейчас делаете себе хуже, причем публично. А если однажды босс спросит, как быстро репутационный кризис, вызванный техническим инцидентом, способен превратиться в уход с рынка, с прищуром Майкла Мэдсена ответьте: — Два дня, босс. Два дня. Подписчику спасибо за историю, маэстро Лукацкому за разбор, и всем отличной пятницы с высоким уровнем доверия к тем, кто проводит ее с вами! 💜 #антикризис #кибербез