eMudhra: Google entfernt Root-Zertifikat nach Schwachstelle

Google hat am 27. Oktober das Root-Zertifikat emSign ECC Root CA – G3 von eMudhra aus dem Chrome Root Store entfernt. Websites, die sich weiterhin darauf stützen, zeigen Chrome-Nutzern nun eine ganzseitige Sicherheitswarnung.

Der Schritt folgt auf einen Vorfall Mitte Oktober um das in Bengaluru ansässige Unternehmen, Indiens größte lizenzierte Zertifizierungsstelle. Ein Forscher wies nach, dass die privaten Schlüssel von acht Zertifizierungsstellen in der globalen Hierarchie von eMudhra so schwach waren, dass sie sich von jedem berechnen ließen.

Fehler bei der Schlüsselzeremonie

Laut Unternehmen entstanden alle acht Schlüssel bei einer Schlüsselzeremonie am 30. April 2025. Ein Fehler im Ablaufskript habe einen zweiten, schwachen Schlüsselsatz erzeugt, der versehentlich verwendet wurde, weil die Bezeichnungen ähnlich aussahen. Jeder Schlüssel hätte rund 116 Stellen lang sein müssen; alle acht lagen unter 256. Der Fehler blieb etwa 18 Monate und zwei Audit-Zyklen lang unentdeckt. Mitgründer Kaushik Srinivasan sprach von „einem einmaligen schlechten Tag“. Ein Prüfbericht wird in zwei bis drei Wochen erwartet.

Nach dem Hinweis des Forschers am 17. Oktober reagierten die Browserhersteller binnen Stunden. Chrome sperrte sechs Zertifikate über die Blockliste CRLSet, Mozilla zog in Firefox nach. Apple lieferte am 19. Oktober Patches für Safari, Microsoft am 20. Oktober für Edge. Mozilla entfernte das G3-Root am 20. Oktober aus seiner Vertrauensliste. Laut Chrome waren vor der Sperrung keine Zertifikate der sechs Zwischenzertifikate in öffentlichen Certificate-Transparency-Logs aufgetaucht, sodass sie nicht missbraucht werden konnten. Google prüft zudem, ob die übrigen Roots von eMudhra vertrauenswürdig bleiben.

Rückzug und Verantwortung

Am 22. Oktober kündigte eMudhra an, das SSL/TLS-Geschäft aufzugeben und neben G3 auch das G1-Root zurückzuziehen. Nach Firmenangaben macht dieser Bereich 1 Prozent des Umsatzes aus. Zu den Kunden zählten ein US-Hochschulverbund sowie Behörden und Unternehmen außerhalb der USA.

In Indien fiel die Reaktion langsamer aus. Das IT-Ministerium bildete ein Sonderteam, CERT-In veröffentlichte vier Tage nach der ersten Meldung eine Warnung. Offen bleibt, wer eine Zertifizierungsstelle in Indien zur Verantwortung zieht, welche Regeln verletzt wurden und welche Strafen drohen. eMudhra, seit 2022 an BSE und NSE notiert, stellt unter Aufsicht der Controller of Certifying Authorities auch digitale Signaturen für Steuer-, GST-, Zoll- und Gesellschaftsrechtsmeldungen aus.