Indyjski urząd certyfikacji eMudhra podjął decyzję o wycofaniu się z globalnego rynku certyfikatów SSL/TLS. Decyzja ta jest bezpośrednim skutkiem raportu badacza, który odkrył, że klucze prywatne ośmiu certyfikatów pośrednich (Intermediate CA) były skrajnie słabe. Zamiast dużych liczb losowych, klucze te miały wartości poniżej 256, co pozwala na ich błyskawiczne odgadnięcie.
Skutki incydentu są poważne dla użytkowników przeglądarek Chrome i Firefox, które zdecydowały się przestać ufać powiązanemu z eMudhra certyfikatowi root (emSign ECC Root CA - G3). Dotyczy to około 30 800 certyfikatów, z których większość należy do społeczności akademickiej korzystającej z usług InCommon. Google zaleca administratorom stron natychmiastową wymianę certyfikatów na nowe, pochodzące z innej hierarchii PKI.
W trakcie incydentu pojawiły się również wątpliwości dotyczące transparentności firmy. Badacze zauważyli, że listy unieważnień certyfikatów (CRL) były podpisywane niewłaściwymi kluczami, co może wynikać z błędów w procedurach naprawczych eMudhra. Firma zapowiedziała, że dotknięci klienci otrzymają darmowe certyfikaty od partnerów, a jej pozostałe linie biznesowe, takie jak podpisy cyfrowe, pozostaną bez zmian.
