A empresa eMudhra, que lida com confiança digital e está sediada em Bangalore, decidiu abandonar seu negócio global de certificados SSL/TLS. Esta decisão foi tomada após um incidente de segurança relacionado a chaves criptográficas fracas, que chamou a atenção do Google e da Mozilla.
Em um comunicado oficial divulgado na quinta-feira, a empresa informou que seu conselho de administração decidiu se retirar voluntariamente desta linha de negócios. Os motivos citados pela empresa incluem o aumento dos custos de conformidade regulatória, o aumento das exigências de soberania de dados e a redução do retorno comercial.
Esta decisão ocorreu após a descoberta de oito chaves intermediárias de autoridades certificadoras associadas à eMudhra que estavam perigosamente fracas. Essas vulnerabilidades poderiam potencialmente permitir que invasores se passassem por sites legítimos. Embora as chaves tenham sido geradas em abril de 2025, sua fraqueza permaneceu despercebida por cerca de dezoito meses. Como resultado, o Google e a Mozilla tomaram medidas para bloquear os certificados afetados para proteger os usuários.
O presidente da eMudhra, V Srinivasan, declarou que a empresa revogou as autoridades certificadoras afetadas em até 14 horas após a descoberta do problema e divulgou essa informação prontamente. A empresa insiste que sua infraestrutura não foi comprometida, não houve vazamento de dados e nenhuma das autoridades intermediárias afetadas emitiu certificados para usuários finais.
Os certificados SSL/TLS globais, usados para autenticar sites e garantir a segurança das conexões online, representavam aproximadamente 1% da receita mundial da eMudhra. Srinivasan observou que as crescentes exigências de soberania de dados e conformidade tornaram este negócio mais complexo e caro. Além disso, a concorrência de grandes fornecedores que oferecem certificados SSL/TLS gratuitamente diminuiu seu potencial comercial e retorno sobre o investimento.
"O nível de cobertura deste incidente nas redes sociais atraiu uma atenção desproporcional ao papel do SSL/TLS em nosso negócio," comentou Srinivasan. Ele acrescentou que o conselho de administração concluiu, após discussão cuidadosa, que a saída do negócio global de SSL/TLS é um passo correto para a empresa e seus acionistas.
A eMudhra anunciou que agora concentrará seus esforços nas soluções corporativas principais e nos serviços de confiança digital fora do segmento SSL/TLS. A empresa também garantiu que seus certificados raiz G1 RSA continuarão atendendo clientes durante o período de transição, enquanto colabora com navegadores e clientes para facilitar o processo de revogação. A empresa entrará em contato com os clientes afetados e organizará a substituição gratuita dos certificados através de parceiros.
Os serviços de revogação e status de certificados serão fornecidos até que todos os certificados emitidos expirem ou sejam substituídos. A eMudhra também se comprometeu a cumprir as obrigações restantes para com os navegadores raiz, incluindo o fornecimento de um relatório completo sobre a causa principal do incidente. Os prazos para a conclusão da saída não foram especificados.
A empresa enfatizou que sua infraestrutura global SSL/TLS opera separadamente de outras áreas de negócios, como o certificado indiano de assinatura eletrônica (DSC) e os serviços eSign. Suas plataformas de infraestrutura de chave pública para empresas, incluindo emCA e CertiNext, bem como soluções de identificação e autenticação, como SecurePass e emAS, continuarão operando normalmente. O incidente atraiu a atenção de fornecedores globais de navegadores e autoridades indianas. A equipe de segurança do Chrome do Google alertou que chaves fracas poderiam permitir que invasores falsificassem certificados HTTPS confiáveis, enquanto a Mozilla bloqueou os certificados afetados no Firefox. Além disso, o Grupo de Resposta a Incidentes Cibernéticos da Índia (CERT-In) emitiu um aviso consultivo em 21 de outubro, apontando os riscos associados a chaves de certificados comprometidas.
