eMudhra مستقر در بنگالورو پس از یک حادثه امنیتی که گوگل، موزیلا و اپل را وادار به مسدود کردن گواهی‌های آسیب‌دیده کردند، از تجارت جهانی گواهی SSL/TLS خود خارج می‌شود.
این شرکت روز پنجشنبه گفت که هیئت مدیره آن تصمیم گرفته است از این تجارت خارج شود، که حدود ۱ درصد از درآمد جهانی آن را تامین می کند و بر نرم افزار سازمانی و سایر خدمات اعتماد دیجیتال تمرکز کند.
این تصمیم به دنبال کشف هشت مرجع صدور گواهی eMudhra با کلیدهای خصوصی ضعیف است که به طور بالقوه به مهاجمان اجازه می دهد تا گواهینامه های وب سایت جعلی ایجاد کنند و به عنوان وب سایت های قانونی معرفی شوند.
هشت کلید خصوصی در معرض خطر اعداد -۴، ۵۶، ۶۶، ۱۱۵، ۱۵۵، ۱۵۶، ۲۳۰ و ۲۳۷ بودند.
یک کلید خصوصی رمزنگاری معمولی P-384 یک عدد ۳۸۴ بیتی به طور تصادفی تولید شده است که تقریباً ۲۳۸۴ یا ۱۰۱۱۵ مقدار ممکن را ارائه می دهد که حدس زدن آنها تقریباً غیرممکن است.
از سوی دیگر، کلیدهای eMudhra در کمتر از یک ثانیه قابل بازیابی بودند.
eMudhra گفت که این مشکل ناشی از یک خطا در طی یک فرآیند تولید کلید در آوریل ۲۰۲۵ است. این شرکت گفت که زیرساخت های آن به خطر نیفتاده است، هیچ داده ای نقض نشده است و مقامات متاثر برای کاربران نهایی گواهی صادر نکرده اند.
پس از کشف این مشکل، مقامات آسیب دیده را تعلیق کرد و علت اصلی را بررسی کرد.
Google گواهی‌های آسیب‌دیده را در Chrome مسدود کرد و حفاظت‌ها را برای دستگاه‌های Android پشتیبانی‌شده گسترش داد. موزیلا آنها را در فایرفاکس مسدود می کند، در حالی که اپل نیز محافظ هایی را معرفی کرده است.
تیم واکنش اضطراری رایانه ای هند (CERT-In) توصیه ای صادر کرد، در حالی که وزارت الکترونیک و فناوری اطلاعات گفت که یک تیم ویژه برای بررسی این حادثه تشکیل داده است.
مقامات کسب و کار گواهینامه وب سایت بین المللی آسیب دیده را از خدمات امضای دیجیتال محلی و eSign eMudhra که همچنان عملیاتی هستند، جدا کرده اند.
eMudhra گفت که گواهی های جایگزین را به صورت رایگان از طریق شرکا به مشتریان آسیب دیده ارائه می کند. وضعیت گواهی و خدمات ابطال آن تا زمانی که گواهی های موجود منقضی شود یا جایگزین شود، ادامه خواهد داشت.
این شرکت گفت که افزایش هزینه‌های انطباق، رقابت از سوی فروشندگانی که گواهی‌های رایگان ارائه می‌دهند و بررسی دقیق پس از حادثه در تصمیم آن برای خروج از کسب‌وکار نقش داشته است.
دیگر عملیات آن، از جمله مدیریت هویت شرکتی، امضای الکترونیکی و محصولات زیرساخت کلید عمومی، تحت تأثیر قرار نگرفته است.
