Google удалила корневой сертификат eMudhra из-за слабых ключей

27 октября Google удалила из Chrome Root Store корневой сертификат eMudhra emSign ECC Root CA – G3. Сайты, которые продолжали на него полагаться, начали показывать пользователям Chrome полноэкранное предупреждение о безопасности.

Это итог событий середины октября. Исследователь показал, что закрытые ключи восьми удостоверяющих центров в глобальной иерархии eMudhra, крупнейшего лицензированного удостоверяющего центра Индии из Бангалора, настолько слабы, что их может вычислить любой. Каждый ключ должен был состоять примерно из 116 цифр, но все восемь оказались меньше 256.

Ошибка на церемонии генерации ключей

Ключи создали на одной церемонии 30 апреля 2025 года. Отраслевые правила требуют проводить её по письменному сценарию, под наблюдением квалифицированного аудитора или с видеозаписью и завершать отчётом аудитора. По версии eMudhra, ошибка в сценарии породила второй, слабый набор ключей, который по неосторожности использовали из-за похожих меток. Сбой оставался незамеченным около 18 месяцев и двух аудиторских циклов. Сооснователь Каушик Шриниваcан назвал случившееся «разовым, неудачным днём». Отчёт аудитора ожидается через две-три недели.

После сообщения от 17 октября производители браузеров отреагировали быстро. Google заблокировала шесть сертификатов сайтов через CRLSet, Mozilla сделала это в течение нескольких часов, Apple выпустила исправления 19 октября, Microsoft — 20 октября. Mozilla 20 октября исключила корень G3 из списка доверенных, а Chrome сделал это с 27 октября и проверяет, стоит ли оставлять остальные корневые сертификаты eMudhra. По данным Chrome, ни один сертификат сайта из шести промежуточных не попал в публичные журналы Certificate Transparency до блокировки.

Уход из TLS и вопросы об ответственности

В течение пяти дней после сообщения совет директоров eMudhra решил полностью выйти из глобального бизнеса TLS-сертификатов, включая корень G1. По словам компании, это направление даёт 1% выручки. Компания, котирующаяся на BSE и NSE с 2022 года, продолжает предлагать в Индии цифровые подписи и услуги eSign.

Реакция в самой Индии заметно медленнее. Министерство IT (MeitY) создало специальную группу для расследования, а CERT-In выпустил предупреждение через четыре дня после первого сообщения. Остаётся открытым вопрос, кто в Индии привлекает удостоверяющие центры к ответственности, какие правила могли быть нарушены и какие санкции возможны.