eMudhra 22 октября объявила об уходе из глобального бизнеса SSL/TLS-сертификатов после инцидента со слабыми секретными ключами. Совет директоров решил закрыть это направление и перевести клиентов к другим поставщикам. Речь о сертификатах, которыми сайты подтверждают свою подлинность при защищённом соединении; остальные направления eMudhra продолжат работу.

В предыдущем разборе мы писали, что ключи восьми промежуточных центров сертификации оказались настолько предсказуемыми, что их можно было восстановить по публичным данным. Chrome заблокировал проблемные ключи 17 октября. Затем Google назначила на 27 октября распространение удаления корневого сертификата emSign ECC Root CA — G3 из доверенного списка: это затронет и легитимные сертификаты, опирающиеся на него. Одновременно Google начала проверять, оставлять ли доверие к другим центрам eMudhra.

Уход не означает немедленного отключения всех выданных сертификатов. Компания обещает сохранить работу корней G1 RSA на время перехода и бесплатно заменить затронутым клиентам сертификаты через партнёров. Сервисы проверки статуса и отзыва должны действовать, пока каждый выпущенный сертификат не истечёт или не будет заменён. Дату завершения перехода и имена партнёров в объявлении не назвали.

Председатель eMudhra объясняет решение растущими расходами на соблюдение требований, конкуренцией с бесплатными сертификатами и непропорциональным, по его мнению, вниманием соцсетей к направлению, дающему около 1% выручки. Компания заявляет, что её инфраструктуру не взламывали и утечки данных не было. При этом она обязалась закончить полный разбор первопричины для браузерных программ доверия: решение уйти с рынка не отменяет расследования того, как слабые ключи туда попали.