Il 22 ottobre 2026 eMudhra Limited ha annunciato che il consiglio ha deciso di ritirarsi volontariamente dal business globale dei certificati SSL/TLS. Per i clienti, l’azienda ha descritto una transizione con continuità del servizio, certificati sostitutivi gratuiti tramite partner e servizi di revoca e verifica dello stato dei certificati.
La transizione per i clienti
Durante il passaggio, eMudhra ha detto che le radici G1 RSA continueranno a servire i clienti. L’azienda ha anche promesso di contattare i clienti coinvolti e fornire tramite partner certificati sostitutivi senza costi. I servizi di revoca e di verifica dello stato resteranno attivi finché i certificati emessi non saranno scaduti o sostituiti.
Quali certificati sono coinvolti
Mozilla ha identificato otto intermedi con chiavi private recuperabili: sei per TLS e due per la firma del codice. TLS è il protocollo che protegge le connessioni tra un dispositivo e un servizio online; i certificati per la firma del codice servono invece a verificare il software firmato.
Le otto chiavi usavano P-384, ma i loro valori privati erano interi inferiori a 256. Mozilla le ha recuperate autonomamente il 17 ottobre 2026 e ha completato la procedura di blocco in Firefox tramite OneCRL alle 22:59 UTC. eMudhra ha dichiarato di aver revocato gli intermedi coinvolti entro 14 ore dalla scoperta. L’azienda ha inoltre detto che dalle autorità di certificazione interessate non erano stati emessi certificati finali.
Per il contesto sull’incidente iniziale, NeoTeo ha pubblicato una ricostruzione delle otto chiavi compromesse e dell’alternativa di Sectigo.
La spiegazione preliminare e le ragioni del ritiro
Nella spiegazione preliminare attribuita a eMudhra, un difetto in uno script usato durante una cerimonia di generazione delle chiavi avrebbe prodotto un secondo gruppo di chiavi deboli accanto a quelle previste. Etichette simili avrebbero poi portato a usare le chiavi deboli nelle richieste di firma dei certificati, o CSR. L’azienda ha detto che stava ancora ricostruendo la causa del problema.
eMudhra ha citato diversi motivi per lasciare il settore: SSL/TLS rappresentava circa l’1% dei ricavi globali, mentre crescevano i costi e la complessità legati a conformità e sovranità dei dati. L’azienda ha menzionato anche la disponibilità di certificati gratuiti e la scrutinio seguito all’incidente.
Quanto agli altri servizi, eMudhra afferma che le attività di firma digitale, eSign, PKI aziendale, eSignature, identità e autenticazione usano un’infrastruttura separata e non sono interessate dall’incidente SSL/TLS. L’azienda include in questa dichiarazione anche le proprie attività in India.
