eMudhra уходит из бизнеса глобальных TLS-сертификатов после отзыва слабых ключей CA

Что на самом деле обещает объявление о выходе

В пресс-релизе от 22 октября 2026 года совет директоров eMudhra сообщает, что добровольно уходит с мирового рынка SSL/TLS-сертификатов. Её индийские услуги цифровой подписи и eSign, корпоративная PKI, emSigner и SecurePass не затронуты. Названные причины: требования о суверенитете данных повышают стоимость и сложность, бесплатные сертификаты крупных выпускателей сокращают доходы, а бизнес составляет около 1% мировой выручки.

В релизе говорится, что затронутые CA отозвали в течение 14 часов после обнаружения, что конечные сертификаты из них не выпускались и что инфраструктура не была скомпрометирована. Председатель V. Srinivasan называет шумиху в соцсетях «несоразмерной». Дата завершения не указана. Корневые G1 RSA продолжают обслуживать клиентов до конца перехода, а полный отчёт о первопричинах всё ещё должен быть передан программам браузеров.

Как перепутались два набора ключей

Инцидент, стоящий за уходом, отслеживается как CVE-2026-111943 — скомпрометированный промежуточный центр сертификации. Лучшее объяснение причины в треде взято из трекера Mozilla.

«По данным eMudhra, на церемонии генерации ключей 30-04-2025 в HSM были созданы правильные стойкие ключи. Скрипт изменили, чтобы проверить обёртывание и распаковку ключей … и ошибка в этом изменении создала второй набор слабых ключей. Ключи почти одинаково назывались, а для запросов сертификатов использовали слабые.» — комментатор, пересказывающий отчёт eMudhra из трекера Mozilla

Комментаторы объясняли друзьям без технического бэкграунда, что секретом оказалось число 4, — такая трактовка в отчёте не подтверждается. Само объяснение превратилось в отдельную игру. Разработчик систем автоматизации документов из Праги признался, что не может придумать метафору так же нелепую, как реальное событие:

«Может, как завод, который собирает машины и с левым, и с правым рулём, а две передние пассажирские двери ставит два года подряд, и никто не замечает?» — разработчик систем автоматизации документов из Праги

Chrome отозвал за 1 час 40 минут, Apple доверяла им ещё несколько дней

Самое практичное утверждение в треде — о скорости реакции.

«Google Chrome отозвал эти сертификаты за 1 час 40 минут, Mozilla — чуть меньше чем за 4 часа» — комментатор, проверявший iPhone 15 Pro по хранилищу доверенных корней

Тот же комментатор сообщает, что телефон с версией хранилища доверия 2026073000 всё ещё принимал сертификаты от трёх промежуточных CA eMudhra почти через пять дней после того, как исследователь сообщил Apple. Это проверка одного человека, а не заявление Apple. Но она показывает, почему программа корневых сертификатов, которая не может быстро отзывать, важнее судьбы одного небольшого CA.