eMudhra vetäytyy TLS-sertifikaattimarkkinoilta tietoturvavirheen jälkeen
Intialainen eMudhra on päättänyt lopettaa TLS-sertifikaattien tarjoamisen maailmanlaajuisesti sen jälkeen, kun yrityksen järjestelmistä löytyi kriittinen tietoturva-aukko.
Google ja muut selainvalmistajat poistivat lokakuun lopussa luottamuksen eMudhran emSign ECC Root CA – G3 -juurisertifikaattiin. Toimenpide seurasi raporttia, jonka mukaan yrityksen luomat kryptografiset avaimet olivat niin heikkoja, että ne olivat murrettavissa. Virhe johtui virheellisestä avainten luontiprosessista huhtikuussa 2025.
Selaingigantit, kuten Google, Mozilla, Apple ja Microsoft, estivät haavoittuvat sertifikaatit nopeasti lokakuun puolivälissä. Vaikka eMudhra ilmoitti TLS-liiketoiminnan tuottavan vain noin prosentin sen liikevaihdosta, yhtiön hallitus päätti vetäytyä koko sektorilta viiden päivän kuluessa haavoittuvuuden paljastumisesta. Yhtiön perustaja Kaushik Srinivasan kuvaili virhettä yksittäiseksi epäonnistumiseksi, joka läpäisi kaksi aiempaa auditointikierrosta.
Samaan aikaan Intian viranomaiset, mukaan lukien IT-ministeriö ja kyberturvallisuusviranomainen CERT-In, ovat käynnistäneet tapauksesta tutkinnan. Vaikka eMudhra on lopettanut kansainvälisen TLS-liiketoiminnan, keskustelu yhtiön valvontavastuusta ja mahdollisista seuraamuksista Intiassa jatkuu yhä.