Безопасность 22 октября 2026, 23:17 МСК

eMudhra уходит с рынка TLS-сертификатов после выпуска сертификатов со слабыми ключами

Индийский удостоверяющий центр eMudhra объявил о выходе из глобального бизнеса SSL/TLS через два дня после раскрытия, что приватные ключи восьми его промежуточных сертификатов тривиально подбираются.

По данным Ars Technica, ключи имели размер всего 3–8 бит вместо около 384 для кривой NIST P-384, а значения были, например, 4, 56 и 237. Подобрать их можно за миллисекунды, после чего можно выпускать сертификаты, которым доверяют основные браузеры.

Председатель совета директоров V. Srinivasan сослался на рост расходов и сложность требований, а также на то, что TLS даёт лишь около 1% выручки; бесплатные сертификаты снижают доходность. Компания также отметила, что внимание соцсетей к инциденту несоразмерно роли TLS в бизнесе. Она заявила, что отозвала сертификаты в течение 14 часов, конечным пользователям они не выдавались, а инфраструктура не скомпрометирована.

В баг-трекере Mozilla представитель eMudhra назвал причиной сочетание человеческого фактора и ошибки в скрипте генерации ключей: ключи экспортировали для переноса в дата-центры Европы и США из-за требований о локализации. По данным Хабра, просьбы показать исходный код скриптов и видеозапись церемонии пока остались без ответа.

• Восемь промежуточных сертификатов с ключами 3–8 бит
• TLS — около 1% выручки eMudhra
• Отзыв сертификатов — в течение 14 часов