eMudhra maakte op 22 oktober 2026 bekend dat de raad van bestuur had besloten vrijwillig te vertrekken uit de wereldwijde SSL/TLS-certificatenactiviteiten. Het bedrijf koppelde dat besluit aan een overgangsplan voor klanten, met dienstverlening via G1 RSA-roots en gratis vervangende certificaten via partners.
Wat de overgang voor klanten betekent
eMudhra zegt getroffen klanten te benaderen en via partners kosteloos vervangende certificaten aan te bieden. De G1 RSA-roots blijven volgens het bedrijf tijdens de overgang klanten bedienen. Ook de diensten voor intrekking en certificaatstatus blijven beschikbaar totdat alle uitgegeven certificaten zijn verlopen of vervangen.
Acht getroffen certificaten, waarvan zes voor TLS
Mozilla identificeerde acht tussenliggende certificaten met terug te halen P-384-privésleutels. Zes waren bedoeld voor TLS en twee voor codeondertekening. Een tussenliggend certificaat vormt een schakel in de certificaatketen tussen een rootcertificaat en een eindgebruikerscertificaat.
Mozilla meldde dat de geheime getalswaarden van alle acht sleutels kleiner waren dan 256 en dat het de sleutels op 17 oktober 2026 onafhankelijk terughaalde. eMudhra zei dat vanuit de getroffen certificaatautoriteiten geen eindgebruikerscertificaten waren uitgegeven. Mozilla noteerde dat één TLS-intermediair uit de G3C-reeks actief was en na de melding werd uitgeschakeld.
NeoTeo beschreef eerder de intrekking van de acht tussenliggende certificaten en Sectigo als alternatief voor getroffen klanten in berichtgeving over het incident en Sectigo.
eMudhra’s voorlopige uitleg over de zwakke sleutels
In een voorlopige uitleg zei eMudhra dat een fout in een script tijdens een sleutelgeneratieceremonie naast de bedoelde sleutels ook zwakke sleutels had aangemaakt. Gelijkende labels zouden er volgens het bedrijf toe hebben geleid dat die zwakke sleutels werden gebruikt voor certificaataanvragen.
Waarom eMudhra zegt te stoppen
eMudhra noemde de beperkte bijdrage van SSL/TLS aan de omzet als reden voor het vertrek: volgens het bedrijf was die activiteit goed voor ongeveer 1% van de wereldwijde omzet. Het bedrijf wees daarnaast op hogere kosten en complexiteit door eisen rond compliance en datasoevereiniteit, gratis certificaataanbieders en de aandacht na het incident.
Het bedrijf zegt dat zijn digitale-handtekeningdiensten, eSign, enterprise-PKI, eSignature en identiteits- en authenticatiediensten op een aparte infrastructuur draaien en niet door het incident zijn geraakt, ook in India.
