🇮🇳Индийский гигант цифрового доверия eMudhra уходит с мирового рынка SSL и TLS после ...
🇮🇳Индийский гигант цифрового доверия eMudhra уходит с мирового рынка SSL и TLS после скандала с ключами Спустя пять дней после вскрытия критической уязвимости в её центрах сертификации индийская публичная компания eMudhra Limited объявила о добровольном и полном выходе из глобального бизнеса публичных SSL/TLS-сертификатов. При этом сама компания не закрывается и не банкротится, так как глобальные браузерные сертификаты приносили ей всего около 1% совокупной выручки. Основной бизнес eMudhra работает в более чем 35 странах и полностью сохраняется, охватывая выпуск сертификатов электронной подписи (DSC) и сервисы подписания eSign (в том числе в Индии), корпоративные платформы PKI и безбумажного документооборота (emSigner, CertiNext, emCA), а также системы управления идентификацией и доступом и решения для защиты данных (SecurePass, PrivaTrust). Однако двухдневный обвал акций компании на биржах NSE и BSE на максимальные 20% в день и экстренное лишение доверия со стороны браузеров вынудили руководство свернуть токсичное направление, чтобы спасти основной корпоративный бренд. Причиной кризиса стала грубая ошибка, расследование которой подробно описывается в трекере Mozilla Bugzilla (Bug 2083449). Ещё 30 апреля 2025 года сотрудники eMudhra создавали 24 промежуточных центра сертификации и при подготовке европейской и американской серий решили протестировать экспорт ключей на аппаратных модулях Utimaco. Из-за ошибки в скрипте рядом с нормальными ключами создались 8 дефектных закрытых ключей со значениями меньше 256, которые по невнимательности и опубликовали в мировых базах, а также заверили в компании Sectigo. Хуже того, ещё в июне 2025 года у eMudhra сработал сигнал тревоги, когда списки отзыва не сошлись с выпущенными сертификатами, но сотрудники не стали останавливать работу, а просто переподписали списки слабыми ключами и оставили уязвимость открытой на полтора года. Когда 17 октября 2026 года независимый исследователь Уэйн восстановил эти ключи примерно за полчаса и уведомил браузерные программы, а следом закрытые ключи независимо подобрали сторонние лица (выпустившие с их помощью 20 и 21 октября 107 107 сертификатов, включая 106 050 тестовых сертификатов для домена google.com), Mozilla и Google приняли решение об экстренном удалении доверия к корневому сертификату emSign ECC Root CA - G3, к которому восходили около 30 800 неистёкших предсертификатов (в том числе 30 791 от двух подчинённых центров Internet2 / InCommon).