Indiase certificaatautoriteit eMudhra trekt zich terug uit de wereldwijde certificaatmarkt na ontdekking van zwakke privésleutels en blokkades door browsers.
De Indiase technologiebedrijf eMudhra, een van de weinige root certificaatautoriteiten in India die door grote webbrowsers wordt vertrouwd, heeft aangekondigd zich terug te trekken uit de wereldwijde SSL/TLS-certificaatmarkt na een ernstig beveiligingsincident. De terugtrekking volgt op het ontdekken van zwakke privésleutels bij acht van haar intermediate certificaten, waardoor browsers zoals Firefox, Apple en Chrome deze certificaten hebben geblokkeerd.
Volgens Google, Mozilla en andere partijen kunnen de zwakke sleutels aanvallers in staat stellen frauduleuze HTTPS-certificaten uit te geven voor websites die zij niet beheren. Hierdoor kan een aanvaller, die het verkeer van een gebruiker onderschept, zich voordoen als een legitieme website en het verkeer lezen of aanpassen. Cloudflare legde uit dat de getroffen certificaten breed werden vertrouwd door browsers, besturingssystemen en hun eigen systemen, waardoor elke aanvaller met een vervalst certificaat servers kan imiteren om verkeer te onderscheppen of te manipuleren.
Cybersecurityonderzoeker Scott Helme publiceerde dat een van de privésleutels niet een willekeurig 384-bits getal was, maar simpelweg het getal vier, terwijl andere sleutels slechts 56 en 115 waren. eMudhra gaf aan dat de certificaten in april 2025 tijdens een ceremonie zijn aangemaakt en dat het probleem voortkwam uit een fout in een stap van deze procedure. De kwetsbaarheid bleef 18 maanden onopgemerkt en overleefde twee onafhankelijke audits, totdat een onderzoeker de zwakke sleutels reverse-engineerde.
De voorzitter van eMudhra, V. Srinivasan, meldde dat de getroffen certificaten binnen 14 uur na ontdekking zijn ingetrokken en dat er geen aanwijzingen zijn voor compromittering of datalekken. Het Indiase ministerie van Elektronica en IT onderzoekt het incident, maar waarschuwt tegen overdreven angstzaaierij op sociale media. De nationale CERT-instantie waarschuwde dat een aanvaller met toegang tot de gecompromitteerde privésleutels legitieme websites kan imiteren, data kan onderscheppen of wijzigen, wat kan leiden tot diefstal van inloggegevens, blootstelling van gevoelige data en financiële fraude. Ook kan malware hierdoor digitaal ondertekend lijken door een vertrouwde uitgever.
In de aankondiging van het vertrek uit de certificaatmarkt gaf Srinivasan aan dat deze tak slechts 1% van de omzet vertegenwoordigde, maar door toenemende compliance-eisen en complexiteit steeds kostbaarder werd. Hij gaf aan dat de verhoogde aandacht mede door sociale media werd versterkt. eMudhra werkt samen met browserprogramma's en klanten om een soepele overgang naar andere certificaatleveranciers te faciliteren. De intrekkings- en certificaatstatusdiensten blijven actief totdat alle uitgegeven certificaten zijn verlopen of vervangen. Ook zal eMudhra een volledig rapport over de oorzaak opleveren. Google gaf aan dat eMudhra heeft toegezegd klanten te helpen migreren, maar onderzoekt nog de aanwezigheid van eMudhra’s resterende certificaten in de Chrome Root Store.
