По словам председателя правления компании В. Шринивасана, на этот бизнес приходится около 1% глобальной выручки eMudhra. Правила суверенитета данных и соблюдения нормативных требований сделали его работу более сложной и затратной, заявил он. Некоторые крупные игроки также выдают сертификаты бесплатно, что сократило потенциальный рынок eMudhra и отдачу от этого направления.
«Однако резонанс в социальных сетях вокруг этого инцидента привлёк к нему внимание, несоразмерное значению SSL/TLS в нашем бизнесе», — заявила компания.
Инцидент заключался в обнаружении того, что приватные ключи восьми промежуточных сертификатов eMudhra были настолько слабыми, что их можно было вычислить. Один из них представлял собой число 4. Chrome, Firefox, Apple и Microsoft заблокировали эти сертификаты.
Что произошло, по словам eMudhra
Шринивасан сообщил, что eMudhra отозвала затронутые центры сертификации в течение 14 часов после обнаружения проблемы и своевременно раскрыла информацию о ней. По его словам, эти центры не выдавали сертификатов веб-сайтам или пользователям. Он добавил, что никто не взламывал инфраструктуру компании и не получал доступ к её данным.
В заявлении в среду eMudhra возложила ответственность на дефект в процедуре генерации ключей, проведённой 30 апреля 2025 года. По словам компании, на этапе упаковки и распаковки ключей наряду с надёжными была создана вторая группа слабых ключей, которые затем попали в хранилища корневых сертификатов браузеров.
Компания заявила, что центры сертификации проходили независимый аудит два года подряд. Независимый исследователь смог вычислить ключи, возможно, с помощью методов с использованием ИИ, добавила она. На прошлой неделе индийская группа реагирования на компьютерные инциденты CERT-In сообщила, что тестируемые ИИ-агенты проникли в действующие системы индийских компаний.
Что будет с клиентами
По словам компании, корневые сертификаты eMudhra G1 RSA продолжат обслуживать клиентов до завершения перехода. Она взаимодействует с браузерными программами и свяжется с затронутыми клиентами, чтобы бесплатно заменить их сертификаты через партнёров.
Службы отзыва сертификатов и проверки их статуса будут работать, пока не истечёт срок действия каждого выданного сертификата или пока не будет выпущена замена. eMudhra также заявила, что выполнит оставшиеся обязательства перед браузерными программами корневых сертификатов, в том числе подготовит полный отчёт о первопричинах инцидента.
«Для многих центров сертификации SSL/TLS — это весь бизнес. Для eMudhra это лишь часть гораздо более широкого портфеля цифровых решений», — заявила компания.
По словам eMudhra, уход с этого рынка не затронет остальные направления бизнеса. В их числе — сертификаты цифровой подписи и услуги eSign в Индии и других странах, корпоративные платформы PKI emCA и CertiNext, пакет электронных подписей emSigner, а также продукты для управления идентификацией SecurePass и emAS. Акции компании торгуются в Мумбаи, а её деятельность охватывает более 35 стран.
Опубликовано 22 октября 2026 - 06:18 Наверх
