22 października 2026 r. zarząd eMudhra Limited ogłosił dobrowolną decyzję o wycofaniu się z globalnej działalności certyfikatów SSL/TLS. Firma opisała też plan przejścia dla klientów: korzenie G1 RSA miały nadal ich obsługiwać, partnerzy mieli zapewnić bezpłatne certyfikaty zastępcze, a usługi sprawdzania statusu i unieważniania certyfikatów miały działać do wygaśnięcia lub wymiany wszystkich wydanych certyfikatów.

Co eMudhra zapowiedziała klientom

eMudhra zapowiedziała, że skontaktuje się z klientami objętymi zmianą i zapewni im bezpłatne certyfikaty zastępcze za pośrednictwem partnerów. W okresie przejściowym korzenie G1 RSA miały nadal obsługiwać klientów, a usługi sprawdzania statusu certyfikatów i ich unieważniania miały pozostać dostępne do wygaśnięcia lub wymiany wszystkich wydanych certyfikatów.

Firma podała, że z dotkniętych urzędów certyfikacji nie wystawiono certyfikatów końcowych, czyli używanych przez konkretne usługi lub witryny. Opisane zobowiązania dotyczą przejścia do nowego modelu obsługi, a nie zakończonej migracji.

Osiem certyfikatów pośrednich, ale nie wszystkie TLS

Mozilla wskazała osiem certyfikatów pośrednich eMudhra z odzyskiwalnymi kluczami prywatnymi: sześć służyło do TLS, a dwa do podpisywania kodu. Certyfikat pośredni urzędu certyfikacji pomaga budować łańcuch zaufania między certyfikatem głównym a końcowym. Mozilla samodzielnie odzyskała klucze P-384 17 października 2026 r.; każdy miał prywatną wartość skalarną mniejszą niż 256. Następnego dnia eMudhra unieważniła osiem pośredników.

Mozilla zakończyła blokowanie dotkniętych certyfikatów TLS w mechanizmie OneCRL przeglądarki Firefox 17 października o 22:59 UTC. Wcześniej opisaliśmy unieważnienie certyfikatów i alternatywę Sectigo.

Jak eMudhra wstępnie wyjaśniała powstanie słabych kluczy

Według wstępnego wyjaśnienia eMudhra błąd skryptu w trakcie ceremonii generowania kluczy utworzył dodatkowy zestaw słabych kluczy podczas testu wrap/unwrap, czyli opakowywania i rozpakowywania kluczy. Firma podała, że podobne oznaczenia doprowadziły do omyłkowego użycia słabych kluczy w żądaniach wystawienia certyfikatów (CSR). eMudhra przedstawiała ten opis jako wstępny i deklarowała, że nadal ustala przyczynę źródłową.

Firma uzasadniała decyzję niewielkim udziałem SSL/TLS w jej globalnych przychodach, wynoszącym około 1%, a także rosnącymi wymogami dotyczącymi suwerenności danych i zgodności, kosztami oraz złożonością działalności. Wskazała też na bezpłatne oferty certyfikatów i wzmożoną uwagę po incydencie.

Jednocześnie eMudhra zapewniała, że oddzielnie działające usługi podpisu cyfrowego, eSign, PKI dla przedsiębiorstw, podpisu elektronicznego, tożsamości i uwierzytelniania, także w Indiach, pozostają poza zakresem zmian.