eMudhra, un’autorità di certificazione indiana, ha annunciato di voler abbandonare completamente il mercato globale dei certificati SSL/TLS. Questa decisione segue la diffusione di rapporti che rivelano la presenza di chiavi private deboli, di cui una addirittura era rappresentata dal numero 4.
In un comunicato rilasciato giovedì, eMudhra ha spiegato che la crescente pressione e il controllo da parte degli organi di vigilanza hanno avuto un ruolo significativo nella loro decisione. Tuttavia, ha anche fatto notare che i costi di conformità in aumento e la concorrenza da parte dei fornitori di certificati gratuiti hanno reso difficile giustificare la continuazione di questa parte dell’attività.
“Il mercato globale dei certificati SSL/TLS rappresenta solo l’1% del nostro fatturato globale”, ha dichiarato eMudhra. L’azienda ha indicato che il rilascio di certificati SSL/TLS gratuiti da parte di grandi aziende e le crescenti esigenze di conformità e sovranità dei dati hanno ridotto notevolmente il valore di questo segmento per eMudhra, portando a una cattiva pubblicità sproporzionata rispetto al suo effettivo contributo economico.
Nonostante SSL/TLS rappresenti solo una piccola parte delle attività della compagnia, la presenza di una chiave CA privata con un valore di 4 ha alimentato le critiche e gli attacchi sui social media. Solo due giorni fa, le chiavi deboli di eMudhra erano state portate alla luce in una segnalazione a Mozilla. Le otto chiavi private affette variavano da 4 a numeri più complessi come 56 e 66, fino a 115, 155, 156, 230 e 237.
Queste chiavi deboli appartenevano a otto autorità di certificazione intermedie, il che avrebbe potuto consentire a malintenzionati di falsificare certificati considerati affidabili. Tuttavia, eMudhra ha ribadito che le autorità di certificazione coinvolte non avevano emesso certificati per entità finali.
L’azienda ha cercato di difendersi da quello che è stato descritto come un incredibile fallimento nella gestione delle chiavi, ammettendo l’esistenza delle chiavi deboli ma citando verifiche indipendenti oltre a un problema verificatosi durante la cerimonia di generazione delle chiavi. “Un difetto nella cerimonia di generazione delle chiavi ha causato la produzione di un secondo set di chiavi deboli accanto alle chiavi forti originali”, ha dichiarato l’azienda.
Nonostante questo, eMudhra ha affermato che le relative infrastrutture certificate avevano subito due anni di audit indipendenti e che erano state incluse nelle liste di fiducia dei browser a partire dalla metà del 2025, ponendo interrogativi sul perché le chiavi deboli non fossero state individuate prima.
eMudhra ha dichiarato che le autorità di certificazione colpite non avevano emesso certificati per entità finali, che ha revocato entro 14 ore dalla scoperta del problema e che né la propria infrastruttura né i dati erano stati compromessi a causa del guasto nelle chiavi.
Tuttavia, questo incidente ha spinto eMudhra a ridurre ulteriormente una piccola parte della propria attività, piuttosto che continuare ad affrontare il controllo. L’azienda ha dichiarato che rilascerà un rapporto sulle cause dell’accaduto e soddisferà i suoi impegni rimanenti con i programmi di root dei browser mentre procede al disimpegno da questa parte di business.
eMudhra continuerà a gestire le radici RSA G1 fino a quando non sarà possibile trasferire i clienti ad altri emittenti di certificati, offrendolo gratuitamente. “I servizi di revoca e stato dei certificati continueranno a funzionare fino all’espirazione o alla sostituzione di ciascun certificato emesso”, ha concluso l’azienda.
