eMudhra a annoncé le 22 octobre 2026 que son conseil d'administration a décidé de se retirer volontairement du marché mondial des certificats SSL/TLS. Cette décision intervient deux jours seulement après que des chercheurs ont révélé que l'autorité de certification indienne avait émis huit certificats TLS intermédiaires dont les clés privées étaient si faibles que n'importe qui pouvait les casser en quelques millisecondes et générer des certificats de confiance pour n'importe quel site web ou serveur de messagerie.
L'entreprise affirme que ce retrait lui permet de concentrer ses efforts sur ses solutions d'entreprise et ses services de confiance autres que SSL/TLS. Le président V. Srinivasan a cité la hausse des coûts de conformité, le fait que cette activité ne représente qu'environ 1 pour cent du chiffre d'affaires mondial, et la concurrence des fournisseurs de certificats TLS gratuits comme Let's Encrypt qui réduit les marges. Il a aussi estimé que l'amplification sur les réseaux sociaux autour de l'incident a suscité un examen disproportionné par rapport à la taille de cette unité.
Les clés TLS faibles à l'origine du retrait d'eMudhra
Selon Ars Technica, eMudhra a émis huit certificats TLS intermédiaires si faibles que n'importe qui pouvait générer des certificats acceptés par tous les grands navigateurs, ainsi que par les serveurs de messagerie, les objets connectés, les conteneurs Docker et les outils non maintenus embarquant leur propre copie du magasin racine. Les clés NIST P-384 sont censées offrir environ 384 bits d'entropie ; celles-ci affichaient des tailles de 3 à 8 bits.
eMudhra a expliqué qu'un défaut dans le script de la cérémonie de génération de clés a fait qu'une étape d'encapsulation/décapsulation a produit un second jeu de clés faibles à côté des clés fortes prévues, et que les clés faibles ont été utilisées par erreur pour créer la demande de signature de certificat en raison de libellés de clés similaires. L'entreprise indique que la demande de signature a aussi été envoyée à l'autorité de certification Sectigo pour une signature croisée.
