eMudhra lämnar TLS-certifikatmarknaden efter säkerhetsbrist
Det indiska certifikatutfärdande bolaget eMudhra drar sig ur den globala TLS-branschen efter att en kritisk sårbarhet i bolagets kryptografiska nycklar upptäckts.
I slutet av oktober tog Google och andra webbläsarleverantörer bort förtroendet för eMudhras rotcertifikat emSign ECC Root CA – G3. Detta skedde efter att forskare påvisat att företagets privata nycklar var så pass svaga att de var lätta att forcera, vilket berodde på ett fel i bolagets procedurer för nyckelgenerering tidigare under 2025.
Webbläsartillverkare agerade skyndsamt och blockerade certifikaten kort efter att sårbarheten rapporterats. Trots att TLS-verksamheten endast stod för en liten del av eMudhras omsättning, fattade bolagets styrelse beslutet att helt avveckla denna del av verksamheten. Medgrundaren Kaushik Srinivasan har betecknat händelsen som ett engångsmisstag som dessvärre passerat genom två oberoende revisioner.
I Indien pågår nu en utredning ledd av IT-ministeriet och CERT-In för att granska händelseförloppet och utkräva ansvar. Frågan om hur certifikatutfärdare regleras och sanktioneras vid systemfel i landet har blivit en central punkt i efterspelet av säkerhetsincidenten.