Компания eMudhra, занимающаяся цифровым доверием и базирующаяся в Бангалоре, приняла решение отказаться от своего глобального бизнеса по сертификатам SSL/TLS. Это решение было принято после инцидента безопасности, связанного со слабыми криптографическими ключами, который привлек внимание Google и Mozilla.
В официальном уведомлении, поданном в четверг, компания сообщила, что ее совет директоров принял решение добровольно выйти из этого направления деятельности. Причины, названные компанией, включают рост затрат на соблюдение нормативных требований, увеличение требований к суверенитету данных и снижение коммерческой отдачи.
Данное решение последовало за обнаружением восьми промежуточных ключей центров сертификации, связанных с eMudhra, которые оказались опасно слабыми. Эти уязвимости потенциально могли позволить злоумышленникам выдавать себя за легитимные веб-сайты. Хотя ключи были сгенерированы в апреле 2025 года, их слабость оставалась незамеченной около восемнадцати месяцев. В результате Google и Mozilla приняли меры по блокировке затронутых сертификатов для защиты пользователей.
Председатель eMudhra, V Srinivasan, заявил, что компания отозвала затронутые центры сертификации в течение 14 часов после обнаружения проблемы и оперативно раскрыла эту информацию. Компания настаивает на том, что ее инфраструктура не была скомпрометирована, утечки данных не произошло, и ни один из затронутых промежуточных органов не выдавал сертификаты конечным пользователям.
Глобальные сертификаты SSL/TLS, которые используются для аутентификации сайтов и обеспечения безопасности онлайн-связи, составляли примерно 1% мирового дохода eMudhra. Srinivasan отметил, что растущие требования к суверенитету данных и соответствию нормам сделали ведение этого бизнеса более сложным и дорогим. Кроме того, конкуренция со стороны крупных поставщиков, предлагающих сертификаты SSL/TLS бесплатно, снизила его коммерческий потенциал и возврат инвестиций.
«Уровень освещения этого инцидента в социальных сетях привлек внимание, которое несоразмерно месту SSL/TLS в нашем бизнесе», — прокомментировал Srinivasan. Он добавил, что совет директоров после тщательного обсуждения пришел к выводу, что выход из глобального бизнеса SSL/TLS является верным шагом для компании и ее акционеров.
eMudhra объявила, что теперь сосредоточит свои усилия на основных корпоративных решениях и услугах цифрового доверия вне сегмента SSL/TLS. Компания также уверила, что ее корневые сертификаты G1 RSA продолжат обслуживать клиентов в период перехода, пока она сотрудничает с браузерными программами и клиентами для облегчения процесса отзыва. Компания свяжется с пострадавшими клиентами и организует бесплатную замену сертификатов через партнеров.
Услуги по отзыву и статусу сертификатов будут предоставляться до тех пор, пока все выпущенные сертификаты не истекут или не будут заменены. eMudhra также обязалась выполнить оставшиеся обязательства перед корневыми браузерными программами, включая предоставление полного отчета об основной причине инцидента. Сроки завершения выхода не уточнены.
Компания подчеркнула, что ее глобальная инфраструктура SSL/TLS функционирует отдельно от других направлений бизнеса, таких как индийский сертификат электронной подписи (DSC) и услуги eSign. Ее платформы инфраструктуры открытых ключей для предприятий, включая emCA и CertiNext, а также решения для идентификации и аутентификации, такие как SecurePass и emAS, продолжат работать в штатном режиме. Инцидент вызвал пристальное внимание со стороны глобальных поставщиков браузеров и индийских властей. Команда безопасности Chrome от Google предупреждала, что слабые ключи могут позволить злоумышленникам подделать доверенные сертификаты HTTPS, в то время как Mozilla заблокировала затронутые сертификаты в Firefox. Кроме того, Компьютерная группа реагирования на чрезвычайные ситуации Индии (CERT-In) выпустила консультативное сообщение 21 октября, указав на риски, связанные с скомпрометированными ключами сертификатов.